使用 jwt-go 实现 jwt 身份验证的基本步骤包括：1. 创建 token：选择签名方法（如 hs256）、构建 claims、使用密钥签名生成 token 字符串；2. 验证 token：从请求头获取 token、解析并验证签名合法性、提取 claims 数据；3. 集成中间件：在 middleware 中统一处理 token 验证，保护接口；注意事项包括设置 token 过期时间、保障 secret key 安全、使用 https 传输、考虑刷新机制。
JWT（JSON Web Token）是一种常见的身份验证方式，特别适合前后端分离的项目。用 Golang 实现 JWT 身份验证，最常用的是
jwt-go这个库。它虽然已经不再活跃维护，但依然稳定可靠，广泛使用。
下面我们就来看看如何用 jwt-go 构建一个基本的安全认证系统。
创建 JWT token
首先你需要生成一个 token。通常是在用户登录成功后，服务器生成一个带有用户信息的 token 并返回给客户端。
立即学习“go语言免费学习笔记（深入）”；
使用 jwt-go 的基本步骤如下：
- 选择签名方法，比如 HS256
- 构建 claims（可以理解为 token 中携带的数据）
- 使用密钥进行签名生成字符串
示例代码：
token := jwt.NewWithClaims(jwt.SigningMethodHS256, jwt.MapClaims{
"user_id": 123,
"exp": time.Now().Add(time.Hour * 72).Unix(),
})
// 签名
tokenString, _ := token.SignedString([]byte("your-secret-key"))注意：这里的 secret key 应该是一个安全且保密的字符串，建议从配置文件中读取，不要硬编码在代码里。
验证和解析 JWT token
客户端在后续请求中带上 token，服务端需要对其进行验证，确保未被篡改，并提取其中的信息。
解析 token 的过程大致是：
- 从请求头中获取 token 字符串
- 解析 token 结构
- 验证签名是否合法
- 提取 claims 数据
示例代码：
parsedToken, err := jwt.Parse(tokenString, func(t *jwt.Token) (interface{}, error) {
return []byte("your-secret-key"), nil
})
if claims, ok := parsedToken.Claims.(jwt.MapClaims); ok && parsedToken.Valid {
fmt.Println(claims["user_id"])
}常见错误包括签名不匹配、token过期等。记得处理这些异常情况，避免程序 panic。
在中间件中集成 JWT 验证
实际项目中，我们通常会在中间件中处理 token 的验证逻辑，这样每个需要鉴权的接口都可以自动校验 token。
你可以写一个简单的 middleware 函数：
func AuthMiddleware(next http.HandlerFunc) http.HandlerFunc {
return func(w http.ResponseWriter, r *http.Request) {
tokenStr := r.Header.Get("Authorization")
token, err := jwt.Parse(tokenStr, func(t *jwt.Token) (interface{}, error) {
return []byte("your-secret-key"), nil
})
if !token.Valid || err != nil {
http.Error(w, "Unauthorized", http.StatusUnauthorized)
return
}
next.ServeHTTP(w, r)
}
}然后在路由中使用这个中间件保护接口：
http.HandleFunc("/protected", AuthMiddleware(func(w http.ResponseWriter, r *http.Request) {
fmt.Fprint(w, "You are authorized!")
}))一些注意事项
- Token 过期时间：一定要设置合适的 exp 时间，避免 token 永不过期带来的安全隐患。
- Secret Key 安全性：key 不能泄露，否则整个认证机制就失效了。
- HTTPS 传输：token 是 base64 编码的，容易被截获，所以必须通过 HTTPS 传输。
- 刷新机制：如果要支持 token 刷新，可能还需要配合 refresh token 和黑名单机制。
基本上就这些内容了。实现起来不复杂，但在实际应用中还是有很多细节需要注意，尤其是安全方面的问题容易被忽略。
