使用JWT实现服务间鉴权，结合RBAC模型管理用户权限，通过gRPC拦截器和mTLS保障服务通信安全，最终由集中式权限服务统一决策，形成分层安全体系。
微服务架构下，服务之间的安全调用和用户权限控制至关重要。Golang凭借其高性能和简洁的并发模型，成为构建微服务系统的热门选择。在实际项目中，如何实现可靠的鉴权与权限管理，是保障系统安全的核心环节。
使用JWT实现服务间鉴权
JWT（JSON Web Token）是微服务中最常用的无状态鉴权方案。用户登录后，认证中心签发一个包含用户信息和过期时间的Token，后续请求携带该Token进行身份验证。
在Golang中，可以使用 github.com/golang-jwt/jwt/v5 库来生成和解析Token：
func GenerateToken(userID string) (string, error) {token := jwt.NewWithClaims(jwt.SigningMethodHS256, jwt.MapClaims{
"user_id": userID,
"exp": time.Now().Add(time.Hour * 72).Unix(),
})
return token.SignedString([]byte("your-secret-key"))
}
每个微服务在接收到请求时，通过中间件校验Token的有效性，确保请求来自合法用户或服务。
立即学习“go语言免费学习笔记（深入）”；
基于角色的权限控制（RBAC）
在系统中引入角色（Role）和权限（Permission）的映射关系，可以灵活管理用户操作范围。常见的模型包括用户 → 角色 → 权限三级结构。
可以在数据库中设计如下表结构：
- users: 存储用户基本信息
- roles: 定义角色，如 admin、editor、viewer
- permissions: 定义具体权限，如 user:read、order:write
- user_roles: 用户与角色关联
- role_permissions: 角色与权限关联
在Golang服务中，可在用户登录后从数据库加载其权限列表，并缓存到Redis中。每次请求时，中间件根据路由和操作类型检查是否具备相应权限。
服务间通信的安全策略
微服务之间通常通过HTTP或gRPC通信。为防止未授权服务接入，建议采用双向TLS（mTLS）或服务Token机制。
对于gRPC服务，可结合Interceptor实现自动鉴权：
func AuthInterceptor(ctx context.Context, req interface{}, info *grpc.UnaryServerInfo, handler grpc.UnaryHandler) error {md, ok := metadata.FromIncomingContext(ctx)
if !ok {
return status.Error(codes.Unauthenticated, "missing metadata")
}
tokens := md["token"]
if len(tokens) == 0 {
return status.Error(codes.Unauthenticated, "missing token")
}
if !ValidateToken(tokens[0]) {
return status.Error(codes.Unauthenticated, "invalid token")
}
return handler(ctx, req)
}
将该Interceptor注册到gRPC服务器，即可统一处理所有RPC调用的鉴权逻辑。
集中式权限管理与配置
随着服务增多，分散的权限判断逻辑难以维护。可引入独立的权限服务（Authz Service），提供CheckPermission API供其他服务调用。
例如定义接口：
type AuthzClient struct {endpoint string
}
func (c *AuthzClient) CanAccess(userID, resource, action string) (bool, error) {
// 调用权限服务API
}
各业务服务在关键操作前调用此方法，实现统一的访问控制决策。配合OpenPolicyAgent（OPA）等工具，还能支持更复杂的策略规则。
基本上就这些。Golang微服务的鉴权与权限管理需要结合JWT、RBAC、服务间安全通信和集中式策略服务，构建分层防御体系。关键是保持逻辑清晰、权限判断可维护，并避免硬编码权限规则。不复杂但容易忽略细节。
