如何使用Golang实现RPC请求签名-Golang-PHP中文网

如何使用Golang实现RPC请求签名

P粉602998670

发布： 2025-10-13 09:57:01

原创

282人浏览过

签名通过HMAC-SHA256结合密钥对请求参数、时间戳、nonce等字段生成token，确保请求完整性与身份认证；2. gRPC中利用metadata传递签名信息，并通过拦截器在服务端验证签名合法性，防止重放攻击；3. net/rpc因无拦截器需手动封装RequestHeader嵌入签名字段并在每个方法前调用验证函数；4. 安全措施包括使用HTTPS、校验时间戳、限制nonce重复、敏感操作二次验证及App Secret外部化管理；5. 建议将验签逻辑统一为公共库或中间件以提升复用性与一致性。

如何使用golang实现rpc请求签名

在使用 Golang 实现 RPC 请求签名时，核心目标是确保请求的完整性和身份认证。通常做法是在客户端对请求参数进行签名，服务端验证该签名是否合法。虽然 RPC 框架本身（如 gRPC 或 Go 的 net/rpc）不直接提供签名机制，但你可以通过中间件或自定义封装实现。以下是具体实现思路和步骤。

1. 签名的基本原理

签名的本质是使用某种算法（如 HMAC-SHA256）结合密钥对请求中的关键字段进行加密摘要，生成一个 token 附加在请求中。服务端用相同方式重新计算并比对。

常见参与签名的字段包括：

时间戳（防止重放攻击）
随机数（nonce）
请求参数（按字典序排序后拼接）
API Key 或 App ID

签名不应对整个二进制 RPC 消息操作，而是作用于可读的元数据或特定字段。

立即学习“go语言免费学习笔记（深入）”；

2. 在 gRPC 中实现签名验证

gRPC 基于 HTTP/2 和 Protocol Buffers，适合使用拦截器（Interceptor）实现签名逻辑。

步骤一：定义 metadata 传递签名信息

客户端将签名、时间戳、AppID 等放入 metadata：

md := metadata.New(map[string]string{
    "x-timestamp": strconv.FormatInt(time.Now().Unix(), 10),
    "x-nonce":     generateNonce(),
    "x-app-id":    "your-app-id",
    "x-signature": "", // 待填充
})

登录后复制

步骤二：客户端计算签名

根据请求内容和其他字段生成签名：

NameGPT名称生成器

免费AI公司名称生成器，AI在线生成企业名称，注册公司名称起名大全。

查看详情

func signRequest(params map[string]string, timestamp int64, nonce, appSecret string) string {
    // 参数按 key 排序
    keys := make([]string, 0, len(params))
    for k := range params {
        keys = append(keys, k)
    }
    sort.Strings(keys)

    var pairs []string
    for _, k := range keys {
        pairs = append(pairs, k+"="+params[k])
    }
    rawStr := strings.Join(pairs, "&") + fmt.Sprintf("&timestamp=%d&nonce=%s", timestamp, nonce)

    h := hmac.New(sha256.New, []byte(appSecret))
    h.Write([]byte(rawStr))
    return hex.EncodeToString(h.Sum(nil))
}

登录后复制

将结果填入 metadata 的 x-signature 字段。

步骤三：服务端拦截器验证签名

使用 gRPC unary interceptor 验证每个请求：

func AuthInterceptor(ctx context.Context, req interface{}, info *grpc.UnaryServerInfo, handler grpc.UnaryHandler) error {
    md, ok := metadata.FromIncomingContext(ctx)
    if !ok {
        return status.Errorf(codes.Unauthenticated, "missing metadata")
    }

    timestampStr := md.Get("x-timestamp")
    nonce := md.Get("x-nonce")
    appID := md.Get("x-app-id")
    signature := md.Get("x-signature")

    // 校验时间戳防止重放
    ts, _ := strconv.ParseInt(timestampStr[0], 10, 64)
    if time.Now().Unix()-ts > 300 { // 超过5分钟
        return status.Errorf(codes.DeadlineExceeded, "request expired")
    }

    // 获取对应 appSecret（可通过数据库或缓存）
    appSecret := getAppSecret(appID[0])
    expectedSig := signRequest(extractParams(req), ts, nonce[0], appSecret)

    if !hmac.Equal([]byte(signature[0]), []byte(expectedSig)) {
        return status.Errorf(codes.Unauthenticated, "invalid signature")
    }

    return handler(ctx, req)
}

登录后复制

3. 在标准 net/rpc 中添加签名

Go 自带的 net/rpc 不支持拦截器，需手动封装。

建议方式：所有请求结构体嵌入一个通用 Header：

type RequestHeader struct {
    AppID     string
    Timestamp int64
    Nonce     string
    Signature string
}

type LoginRequest struct {
    RequestHeader
    Username string
    Password string
}

登录后复制

在每个方法开头调用验证函数：

func (s *UserService) Login(req *LoginRequest, resp *LoginResponse) error {
    if err := validateSignature(&req.RequestHeader, req); err != nil {
        return err
    }
    // 正常业务逻辑
}

登录后复制

其中 validateSignature 实现与前述一致。