使用JWT实现Golang后端鉴权的最佳实践

使用JWT实现Golang后端鉴权的最佳实践

前言

在现代Web应用开发中，身份验证和授权是保障系统安全的重要组成部分。JSON Web Token (JWT) 作为一种轻量级的认证方案，因其简洁性、自包含性和跨语言支持等优势，被广泛应用于前后端分离的项目中。本文将详细介绍如何在Golang中使用JWT实现管理员鉴权功能，并配合Gin框架构建安全的API接口。

一、JWT简介

JWT是一种开放标准(RFC 7519)，用于在各方之间安全地传输信息作为JSON对象。它由三部分组成：

1. Header - 包含令牌类型和签名算法
2. Payload - 包含声明(claims)，即有关实体(通常是用户)和其他数据的声明
3. Signature - 用于验证消息在传输过程中没有被篡改

JWT的工作流程：

1. 用户登录成功后，服务器生成JWT并返回给客户端
2. 客户端在后续请求中携带JWT（通常在Authorization头中）
3. 服务器验证JWT有效性并处理请求

二、项目配置

首先，我们需要在配置文件中定义JWT相关的参数。以下是配套的config.yaml文件内容：

app:
  token:
    secret: "your-32-byte-long-secret-key-must-be-very-secure" # JWT密钥，长度必须≥32字节
    expireTime: 24 # token有效期(小时)
    issuer: "my-golang-app" # 签发者
    header: "Bearer" # 请求头中的token前缀

三、核心代码实现

1. JWT初始化与配置

// AdminClaims 自定义JWT声明
type AdminClaims struct {
    model.AdminVo
    jwt.RegisteredClaims
}

var (
    TokenExpiredDuration time.Duration
    Secret               []byte
    Issuer               string
)

// InitJWT 初始化JWT配置
func InitJWT() error {
    if len(config.AppConfig.Token.Secret) < 32 {
        return errors.New("JWT密钥长度必须≥32字节")
    }

    expireHours := config.AppConfig.Token.ExpireTime
    if expireHours <= 0 {
        expireHours = 24
    }

    TokenExpiredD