Golang如何实现用户认证和授权_Golang 用户认证授权方法-Golang-PHP中文网

Golang如何实现用户认证和授权_Golang 用户认证授权方法

P粉602998670

发布： 2025-11-19 17:08:48

原创

234人浏览过

使用JWT实现无状态认证，结合bcrypt密码加密和RBAC授权，通过中间件验证Token与角色权限，是Golang Web应用常见安全方案。

golang如何实现用户认证和授权_golang 用户认证授权方法

在使用Golang开发Web应用时，用户认证和授权是保障系统安全的核心环节。认证（Authentication）确认用户身份，授权（Authorization）决定用户能访问哪些资源。下面介绍几种常见且实用的实现方式。

使用JWT实现无状态认证

JSON Web Token（JWT）是一种轻量级、自包含的身份验证机制，适合分布式系统。

基本流程：用户登录后，服务端生成一个JWT返回给客户端；之后每次请求携带该Token，服务端验证其有效性。

示例代码：

安装依赖：

立即学习“go语言免费学习笔记（深入）”；

go get github.com/golang-jwt/jwt/v5

生成Token：

import "github.com/golang-jwt/jwt/v5"
<p>func generateToken(userID string) (string, error) {
token := jwt.NewWithClaims(jwt.SigningMethodHS256, jwt.MapClaims{
"user_id": userID,
"exp":     time.Now().Add(time.Hour * 24).Unix(),
})
return token.SignedString([]byte("your-secret-key"))
}

登录后复制

中间件验证Token：

func authMiddleware(next http.HandlerFunc) http.HandlerFunc {
    return func(w http.ResponseWriter, r *http.Request) {
        tokenStr := r.Header.Get("Authorization")
        if tokenStr == "" {
            http.Error(w, "Missing token", http.StatusUnauthorized)
            return
        }
<pre class="brush:php;toolbar:false;"><pre class="brush:php;toolbar:false;">    token, err := jwt.Parse(tokenStr, func(token *jwt.Token) (interface{}, error) {
        return []byte("your-secret-key"), nil
    })

    if err != nil || !token.Valid {
        http.Error(w, "Invalid token", http.StatusUnauthorized)
        return
    }
    next(w, r)
}

登录后复制

}

基于角色的访问控制（RBAC）

授权通常通过角色来管理权限。例如：admin可删除数据，user只能查看。

可以在JWT中嵌入用户角色，或从数据库查询角色权限。

示例：扩展JWT Claims加入角色信息

Grammarly

Grammarly是一款在线语法纠正和校对工具，伟大的AI辅助写作工具

253

查看详情

token := jwt.NewWithClaims(jwt.SigningMethodHS256, jwt.MapClaims{
    "user_id": "123",
    "role":    "admin",
    "exp":     time.Now().Add(time.Hour * 24).Unix(),
})

登录后复制

编写角色检查中间件：

func requireRole(requiredRole string) func(http.HandlerFunc) http.HandlerFunc {
    return func(next http.HandlerFunc) http.HandlerFunc {
        return func(w http.ResponseWriter, r *http.Request) {
            token, _ := jwt.ParseFromRequest(r, func(token *jwt.Token) (interface{}, error) {
                return []byte("your-secret-key"), nil
            })
<pre class="brush:php;toolbar:false;"><pre class="brush:php;toolbar:false;">        if claims, ok := token.Claims.(jwt.MapClaims); ok && token.Valid {
            if claims["role"] == requiredRole {
                next(w, r)
                return
            }
        }
        http.Error(w, "Forbidden", http.StatusForbidden)
    }
}

登录后复制

}

结合数据库进行用户凭证校验

用户登录时需验证用户名和密码，通常使用bcrypt加密存储密码。

常用库：golang.org/x/crypto/bcrypt

示例：

import "golang.org/x/crypto/bcrypt"
<p>func hashPassword(password string) (string, error) {
bytes, err := bcrypt.GenerateFromPassword([]byte(password), 14)
return string(bytes), err
}</p><p>func checkPassword(hash, password string) bool {
err := bcrypt.CompareHashAndPassword([]byte(hash), []byte(password))
return err == nil
}

登录后复制

登录处理函数中调用数据库查询用户并比对密码，成功后发放JWT。