golang 的github.com/dgrijalva/jwt-go包

最新推荐文章于 2025-04-06 07:10:34 发布
最新推荐文章于 2025-04-06 07:10:34 发布
阅读量607 收藏 4
点赞数 13
分类专栏： golang 文章标签： golang jwt-go JWT
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/aw2371/article/details/146991625
版权

Golang JSON Web Token (JWT) 包

JSON Web Token（JWT）是一种用于在客户端和服务器之间安全传输信息的紧凑、URL安全的方法。Go语言社区中，github.com/dgrijalva/jwt-go包提供了一个强大且易用的实现来生成和验证JWT。

1. 安装

在使用github.com/dgrijalva/jwt-go包之前，需要先将其安装到项目中。可以通过以下命令完成安装：

go get github.com/dgrijalva/jwt-go

安装完成后，可以在Go代码中导入该包：

import (
	"github.com/dgrijalva/jwt-go/v4"
)

2. 生成JWT

生成JWT的过程主要包括以下几个步骤：

  1. 创建JWT对象：使用jwt.NewWithClaims方法创建一个新的JWT对象。
  2. 设置声明：在JWT对象中添加所需的声明（claims）。
  3. 设置过期时间：可以通过SetExpiration方法设置JWT的过期时间。
  4. 签署JWT：使用SignedString方法将JWT对象签署为字符串。

示例代码：

package main

import (
	"time"
	"github.com/dgrijalva/jwt-go/v4"
)

type CustomClaims struct {
	Name string `json:"name"`
	Role  string `json:"role"`
	jwt.StandardClaims
}

func GenerateJWT() (string, error) {
	// 设置秘钥，在实际应用中应从安全的配置文件加载
	secretKey := "your-secret-key"

	// 创建一个新的JWT
	token := jwt.NewWithClaims(jwt.SigningMethodHS256, &CustomClaims{
		Name: "John Doe",
		Role: "admin",
		StandardClaims: jwt.StandardClaims{
			ExpiresAt: 15000, // 过期时间
			IssuedAt:  time.Now().Unix(),
			Issuer:    "your-issuer",
			Subject:   "user-subject",
		},
	})

	// 签署JWT
	tokenString, err := token.SignedString([]byte(secretKey))
	if err != nil {
		return "", err
	}

	return tokenString, nil
}

func main() {
	jwtToken, err := GenerateJWT()
	if err != nil {
		fmt.Println("生成JWT失败:", err)
		return
	}
	fmt.Println("生成的JWT:", jwtToken)
}

说明：

  • CustomClaims结构体：用于自定义JWT的声明内容。
  • StandardClaims：包含了一些标准的JWT声明，如过期时间（ExpiresAt）、签发时间（IssuedAt）、签发者（Issuer）、主题（Subject）。
  • 签署方法：使用HS256算法进行签署，需要提供一个秘钥。

3. 验证JWT

验证JWT的过程包括以下几个步骤：

  1. 解析JWT：使用jwt.ParseWithClaims方法解析JWT字符串。
  2. 验证签名：确保JWT的签名是有效的。
  3. 检查声明：从JWT中提取声明，并进行必要的验证。

示例代码：

func ValidateJWT(tokenString string) (*CustomClaims, error) {
	secretKey := "your-secret-key"

	// 解析JWT
	token, err := jwt.ParseWithClaims(tokenString, &CustomClaims{}, func(token *jwt.Token) (interface{}, error) {
		// 验证签名算法
		if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
			return nil, fmt.Errorf("unexpected signing method: %v", token.Header["alg"])
		}
		return []byte(secretKey), nil
	})

	if err != nil {
		return nil, fmt.Errorf("解析JWT失败: %v", err)
	}

	// 获取声明
	claims, ok := token.Claims.(*CustomClaims)
	if !ok || !token.Valid {
		return nil, fmt.Errorf("无效的JWT")
	}

	return claims, nil
}

func main() {
	// 假设有一个JWT字符串
	jwtToken := "your-jwt-token-string"

	claims, err := ValidateJWT(jwtToken)
	if err != nil {
		fmt.Println("验证JWT失败:", err)
		return
	}

	fmt.Printf("JWT声明内容: %+v\n", claims)
}

说明：

  • ParseWithClaims：用于解析JWT字符串，并将声明部分映射到自定义的结构体中。
  • 签名验证：在解析过程中，检查JWT的签名是否有效。
  • 声明检查：确保JWT的声明部分存在且有效。

4. 高级功能

4.1 自定义声明

除了标准的声明，用户可以自定义声明来携带更多的信息。例如，添加用户ID、权限等。

type CustomClaims struct {
	Name   string `json:"name"`
	Role   string `json:"role"`
	UserID int    `json:"user_id"`
	jwt.StandardClaims
}

4.2 设置过期时间

可以通过SetExpiration方法设置JWT的过期时间。

token := jwt.NewWithClaims(jwt.SigningMethodHS256, &CustomClaims{
    // ... 其他声明
    StandardClaims: jwt.StandardClaims{
        ExpiresAt: time.Now().Add(time.Hour * 24).Unix(), // 过期时间为24小时后
        IssuedAt:  time.Now().Unix(),
        Issuer:    "your-issuer",
        Subject:   "user-subject",
    },
})

4.3 多次签署

对于需要在一个JWT中包含多次签署，可以使用AddMethod方法。

token := jwt.New(jwt.SigningMethodHS256)
token.AddMethod(jwt.SigningMethodHS384, []byte(secretKey))

5. 常见问题和注意事项

  1. 秘钥管理：

    • 确保秘钥的安全性，避免泄露。
    • 避免在客户端代码中硬编码秘钥，使用环境变量或安全的配置文件加载。

  2. 过期时间：

    • 设置合理的过期时间，避免令牌长时间有效。
    • 在分布式系统中，确保服务器时间同步。

  3. 验证过程：

    • 在验证JWT时，确保严格检查签名算法。
    • 在提取声明时，确保JWT的状态是有效的。

  4. 错误处理：

    • 在生成和验证过程中，妥善处理可能的错误。
    • 使用有意义的错误信息，帮助调试和监控。

以下是基于github.com/dgrijalva/jwt-go包的JWT中间件代码示例：

在使用上述中间件时，可以在Gin路由器的初始化时添加中间件：

func main() {
	secretKey := "your-secret-key"
	r := gin.Default()
	
	// 创建JWT中间件
	authMiddleware := NewAuthMiddleware(secretKey)
	r.Use(authMiddleware.Middleware())

	// 添加受保护的路由
	r.GET("/protected", func(c *gin.Context) {
		userID := c.MustGet("user_id").(int)
		role := c.MustGet("role").(string)
		c.JSON(http.StatusOK, gin.H{
			"message":  "Hello, protected route!",
			"user_id": userID,
			"role":    role,
		})
	})

	r.Run(":8080")
}

代码解释：

  1. AuthMiddleware结构：存储用于签署和验证JWT的秘钥。
  2. NewAuthMiddleware：创建一个新的中间件实例。
  3. Middleware()：返回一个Gin中间件函数。
  4. Authentication流程：
    • 从请求头获取Authorization。
    • 解析JWT，并验证其签名和声明。
    • 如果有效，将用户信息设置到上下文中，继续处理请求。
    • 如果无效，返回错误响应并停止处理。

优势：

  1. 安全性：确保每个请求都经过JWT验证，防止未授权访问。
  2. 灵活性：可以根据需求自定义声明内容。
  3. 易用性：将验证逻辑集中在中间件中，简化了路由处理函数的实现。

注意事项：

  1. 秘钥管理：确保秘钥安全，不要在代码中硬编码，建议使用环境变量或配置文件。
  2. 过期时间：合理设置JWT的过期时间，避免令牌长时间有效。
  3. 错误处理：中间件对不同的错误情况进行了处理，返回相应的错误信息。

通过这个中间件，你可以轻松保护Gin框架下的API端点，确保只有持有有效JWT的用户才能访问受保护的资源。

6. JWT中间件示例

在Web应用中，JWT中间件通常用于验证请求中的JWT令牌，确保仅授权用户可以访问受保护的资源。以下是一个基于github.com/dgrijalva/jwt-go包实现的JWT中间件示例。

中间件功能

  1. 提取JWT令牌：从请求头的Authorization字段中提取JWT。
  2. 解析和验证JWT：验证JWT的签名和声明，确保其有效性。
  3. 上下文存储：将验证后的用户信息存储在请求上下文中，以便后续处理。
  4. 错误处理：对于无效请求，返回相应的错误响应。

示例代码

package main

import (
	"fmt"
	"net/http"
	"time"

	"github.com/dgrijalva/jwt-go/v4"
	"github.com/gin-gonic/gin"
)

// 定义自定义的中间件结构
type AuthMiddleware struct {
	secretKey []byte
}

// Claims 结构体，定义JWT中的声明内容
type Claims struct {
	UserID int `json:"user_id"`
	Role   string `json:"role"`
	jwt.StandardClaims
}

// NewAuthMiddleware 创建一个新的JWT中间件实例
func NewAuthMiddleware(secretKey string) *AuthMiddleware {
	return &AuthMiddleware{
		secretKey: []byte(secretKey),
	}
}

// Middleware Implement the Middleware interface
func (am *AuthMiddleware) Middleware() gin.HandlerFunc {
	return func(c *gin.Context) {
		// 从请求头获取Authorization
		authHeader := c.GetHeader("Authorization")
		if authHeader == "" {
			c.JSON(http.StatusUnauthorized, gin.H{
				"error": "Missing Authorization Header",
			})
			c.Abort()
			return
		}

		// 解析JWT
		tokenString := authHeader[7:] // 去掉"Bearer "前缀
		token, err := jwt.ParseWithClaims(tokenString, &Claims{}, func(token *jwt.Token) (interface{}, error) {
			// 验证签名算法
			if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
				return nil, fmt.Errorf("Unexpected signing method: %v", token.Header["alg"])
			}
			return am.secretKey, nil
		})

		if err != nil {
			c.JSON(http.StatusUnauthorized, gin.H{
				"error": "Invalid JWT token",
			})
			c.Abort()
			return
		}

		// 检查JWT是否有效
		if claims, ok := token.Claims.(*Claims); ok && token.Valid {
			// 将用户信息设置到上下文中
			c.Set("user_id", claims.UserID)
			c.Set("role", claims.Role)
			// 继续处理请求
			c.Next()
		} else {
			c.JSON(http.StatusUnauthorized, gin.H{
				"error": "Invalid JWT claims",
			})
			c.Abort()
		}
	}
}

使用示例

在Gin框架中使用该中间件的示例：

func main() {
	secretKey := "your-secret-key"
	r := gin.Default()

	// 创建并注册JWT中间件
	authMiddleware := NewAuthMiddleware(secretKey)
	r.Use(authMiddleware.Middleware())

	// 测试路由
	r.GET("/public", func(c *gin.Context) {
		c.JSON(http.StatusOK, gin.H{
			"message": "公开路由，无需认证",
		})
	})

	// 受保护路由
	r.GET("/protected", func(c *gin.Context) {
		userID := c.MustGet("user_id").(int)
		role := c.MustGet("role").(string)
		c.JSON(http.StatusOK, gin.H{
			"message":  "受保护路由，只有授权用户才能访问",
			"user_id":  userID,
			"role":     role,
			"status":  "authorized",
		})
	})

	r.Run(":8080")
}

中间件工作流程说明

  1. 提取Authorization头：

    • 从HTTP请求头部提取Authorization字段，并检查其是否存在。
    • 如果不存在，返回401 Unauthorized错误。

  2. 解析和验证JWT：

    • 使用jwt.ParseWithClaims解析JWT字符串，并使用自定义的秘钥验证其签名。
    • 检查JWT的签名算法是否与预期一致，防止使用错误的算法进行签署。

  3. 检查JWT有效性：

    • 确认JWT的过期时间和其他声明的有效性。
    • 如果JWT无效，返回相应的错误信息。

  4. 设置用户上下文：

    • 将解析后的用户信息（如userID和role）存储在Gin的上下文中，以便在后续的处理函数中使用。

  5. 错误处理：

    • 对于无效的JWT或其他错误情况，返回详细的错误信息，并停止请求的进一步处理。

中间件优势

  1. 集中安全验证：

    • 将身份验证逻辑集中在中间件中，避免在每个路由处理函数中重复验证JWT。

  2. 灵活性：

    • 支持自定义的声明结构，适应不同的应用场景需求。

  3. 高效性：

    • 使用Gin框架的中间件机制，确保验证过程高效且不影响其他请求处理。

注意事项

  1. 秘钥管理：

    • 确保秘钥的安全性，避免在代码中硬编码。
    • 使用环境变量或配置文件加载秘钥，确保在不同环境中灵活调整。

  2. JWT的设置：

    • 合理设置JWT的过期时间，平衡安全性和用户体验。
    • 在需要的情况下，可以设置JWT的Refresh Token机制，实现令牌的无缝刷新。

  3. 错误处理：

    • 返回有意义的错误信息，帮助开发者调试和监控。
    • 避免在错误信息中泄露敏感信息。

  4. 性能优化：

    • 对于高并发场景，确保中间件的高效执行，不影响整体服务器性能。
    • 可以通过缓存或其他优化手段提升验证效率。

总结

通过以上示例，可以实现一个功能完善的JWT中间件，用于保护Gin框架下的API端点。该中间件能够高效验证JWT令牌，确保只有合法用户能够访问受保护的资源。同时，通过灵活的配置和自定义声明，可以满足不同的业务需求。此外，结合Gin框架的高性能特性，该中间件能够在高并发场景下稳定运行，保障应用的安全性和可靠性。

7. 总结

github.com/dgrijalva/jwt-go包为Go语言提供了一个功能强大且易用的JWT实现。通过它，开发者可以轻松地生成和验证JWT，满足各种身份验证和授权需求。

主要优势：

  • 简单易用：提供了直观的API，简化了JWT的生成和验证过程。
  • 灵活性：支持自定义声明、多种签名算法和高级功能。
  • 健全性：严格的错误处理和验证机制，确保安全性。

适用场景：

  • 身份验证：在Web应用中，JWT可以作为Bearer令牌，用于身份验证。
  • API授权：在微服务架构中，用于跨服务的授权和认证。
  • 单页应用：在前后端分离的架构中，用于状态的维护和传递。
Go语言使用golang-jwt/jwt/v4进行JWT鉴权
反方向的周-博客
12-22 8744
文章目录1.什么是JWT2.JWT的数据结构2.1 Header2.2 Payload2.3 Signature2.4 Base64URL3使用JWT安装生成Token参考： 最近写的项目中用到了JWT鉴权，因此做个记录 原先的jwt-go仓库已经不再维护，迁移到了github.com/golang-jwt/jwt/v4 但是网上大多数还是v3版本的使用教程，建议使用更加安全的v4 1.什么是JWT JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方
go: module github.com/gin-gonic/gin: Get “https://proxy.golang.org/***“ dial tcp **:i/o timeout
u011285281的博客
03-12 965
解决go: module dial tcp **:i/o timeout
Get “https://proxy.golang.org/github.com/“: dial tcp 216.58.200.49:443: connect: connection refused
软件工程小施同学 的专栏
05-27 3078
go项目编译报错 + go build -o xchain-cli -gcflags '' -ldflags '-X main.buildVersion=master -X main.buildDate=2021-05-27-09:03:34 -X main.commitHash=b2d6bd2' github.com/xuperchain/xuperchain/core/cmd/cli go: github.com/BurntSushi/toml@v0.3.1: Get "https://proxy.g
Gin框架dgrijalva/jwt-go实例(JWT用户认证)
高性价比服务器就选：蓝易云
01-21 545
此示例演示了如何在Gin框架中使用dgrijalva/jwt-go库实现JWT用户认证。在实际应用中，你需要根据你的需求进行更详细的配置和处理。在编写代码之前，建议查阅。请注意，上述示例中的"your-secret-key"应该替换为你的实际密钥。这个密钥用于签名和验证JWT令牌。的官方文档，以获取更多详细信息和最佳实践。
go get github.com/xxx/xxx 下载失败
qirui_lii的博客
03-27 1369
原因： go get访问github很慢，可以通过增加代理来加快访问速度 处理步骤： go env -w GO111MODULE=on go env -w GOPROXY=https://goproxy.cn,direct go get github.com/xxx/xxx 可能出现的错误： GoLand报错：warning: go env -w GOPROXY=… does not override conflicting OS environm 查看golang环境变量，会发现本地cmd和GoLan
go cannot find package “github.com/gorilla/websocket“
qq_45725675的博客
01-10 1640
go cannot find package “github.com/gorilla/websocket” #C盘满了 没的错了，这是我之后耽搁一下午的琐事的起因。因为最开始年少无知，啥东西都往C里存，然后致使现在想去清理也对一大堆的注册表、缓存空间、文件目录束手无策。万般无奈下我小心翼翼的对一部分软件进行了搬家，结果就是这搬家搬出了事。 Git位移 在搬了一堆文件后，我突然发现Goland不能用了，在看着它报了一大堆错后，我果断的选择了卸载重装，然后就在重新使用命令go get -u -v github.
Gin框架dgrijalva/jwt-go实例
高性价比服务器就选：蓝易云
01-02 473
Gin是一个Go语言的Web框架，而dgrijalva/jwt-go是一个用于处理JWT（JSON Web Token）的Go语言库。以上示例演示了在Gin框架中如何使用dgrijalva/jwt-go库来实现JWT的验证和生成。在实际应用中，可以根据需要进行进一步的封装和优化。
[Go] go语言使用dgrijalva/jwt-go 实现加解密jwt
程序员老狼专注开发aigc或客服系统应用
09-07 1332
当开发登录验证系统的时候 现在基本都是使用的jwt来实现的权限校验 这时候就涉及到了jwt的加密和解密 可以参考下面的使用方法 tools/jwt.go package tools import ( "github.com/dgrijalva/jwt-go" "time" ) const SECRET = "taoshihan" type UserClaims struc...
【golang】安装库出错 cannot find package “github.com/xxx“ in any of
qq_41094042的博客
12-21 2670
解决四： 或者设置代理试试，打开你的终端并执行（Go 1.13 及以上） go env -w GO111MODULE=on go env -w GOPROXY=https://goproxy.cn,direct 参考：https://blog.csdn.net/sphinx1122/article/details/117395530
gin-jwt/v2 与 "github.com/golang-jwt/jwt/v4" 使用jwt 冲突
03-17
gin-jwt/v2 和 "github.com/golang-jwt/jwt/v4" 都是 Go 语言中用于处理 JSON Web Token (JWT) 的库，它们之间可能存在一些使用上的冲突。 gin-jwt/v2 是一个专门为 Gin 框架设计的 JWT 中间件，它提供了一些方便的...
gin "github.com/golang-jwt/jwt/v5"
07-25
关于 `gin "github.com/golang-jwt/jwt/v5"`，这是导入了一个用于处理 JSON Web Tokens (JWT) 的 Golang 库。JWT 是一种用于在网络应用中传递信息的安全方式，它由三个部分组成：头部、载荷和签名。`github....
"github.com/golang-jwt/jwt/v5"
07-25
关于 "github.com/golang-jwt/jwt/v5" 这个库，它是一个用于处理 JSON Web Tokens (JWT) 的 Go 语言库。JWT 是一种用于在网络应用中传递认证信息的开放标准。通过使用该库，你可以轻松地生成、解析和验证 JWT。它...
github.com/appleboy/gin-jwt/v2
09-02
github.com/appleboy/gin-jwt/v2 是一个基于 Golang 语言的 Gin 框架的 JWT（JSON Web Token）中间件库。JWT 是一种用于开发和认证的 Web 标准，它可以将用户认证信息存储在一个加密的 token 中，并传输给服务器。这...
Logo语言的云数据库
2501_91409176的博客
04-02 328
Logo语言在1967年由西摩·帕佩特（Seymour Papert）及其同事开发，旨在帮助学生理解编程概念。它采用了一种图形化的方式来教学，通过控制“海龟”的运动，学生可以直观地理解编程的基本逻辑。Logo语言的出现，不仅仅推动了教育技术的发展，也为后来的许多编程语言奠定了基础。云数据库是指在云计算环境中提供的数据库服务，用户可以通过网络访问数据库，而无需关心底层的硬件和软件管理。云数据库可以根据需求进行快速的扩展和缩减，通常具备高可用性和可容错性。
Go语言从零构建SQL数据库(4)-解析器
ypl0ipy的博客
04-02 706
SQL解析器是数据库系统的核心组件，负责将文本形式的SQL语句转换为系统内部可执行的结构。
go mod download报错解决方案
Meta39的博客
04-03 413
go mod download报错解决方案
Go和Golang语言简介
m0_65595995的博客
04-02 301
Go（或 Golang）是一种现代编程语言，以简洁、高效和强大的并发支持著称，广泛应用于 Web 开发、云计算和系统编程等领域。
Logo语言的锁
2501_91439287的博客
04-02 406
Logo语言诞生于1967年，由物理学家西摩·帕帕特(Seymour Papert)及其团队为儿童教育设计。Logo语言的设计初衷是帮助学生在理解几何、逻辑和计算思维的同时，掌握编程的基础。它的核心思想是让学生通过对“乌龟”(Turtle)的指令发出运动命令，实现图形的绘制，从而培养他们的创造力与问题解决能力。易于掌握：Logo的语法简单明了，适合初学者和儿童。图形化表达：通过控制乌龟的运动，学生可以直观地观察到程序执行的结果，从而增强学习的兴趣。强调思维。
golang 计时器内存泄露问题 与 pprof 性能分析工具
最新发布
S_ZaiJiangHu的博客
04-06 522
再介绍pprof之前，我们其实还有一种方法，可以测试此段代码是否发生了内存泄漏，就是使用top命令查看该进程占用cpu情况，输入top命令，我们会看到cpu一直在飙升，这种方法可以确定发生内存泄漏，但是不能确定发生问题的代码在哪部分，所以最好还是使用pprof工具进行分析，他可以确定具体出现问题的代码。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

草海桐

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值