使用JWT、mTLS、服务注册元数据验证及统一网关代理实现Golang微服务间身份认证，核心是确保请求来源可信。1. JWT通过签名和声明字段实现无状态认证；2. mTLS利用双向证书验证提升安全性；3. 服务注册时附加身份元数据，调用时动态校验；4. 统一网关或边车代理集中处理认证，降低业务侵入。根据安全需求选择方案：一般场景用JWT，高安全选mTLS，复杂架构结合服务网格，关键在于隔离认证逻辑与业务代码。
在微服务架构中，服务间身份认证是保障系统安全的关键环节。Golang 以其高性能和简洁的语法，成为构建微服务的热门选择。实现服务间身份认证时，核心目标是确保请求来自可信服务，防止未授权访问。以下是几种常用且实用的方法。
使用 JWT 实现无状态身份认证
JWT（JSON Web Token）是一种轻量级、自包含的身份凭证格式，适合服务间传递身份信息。
服务A调用服务B时，可在 HTTP 请求头中携带 JWT，服务B通过验证签名确认来源合法性。
- 使用 github.com/golang-jwt/jwt/v5 库生成和解析 token
- 建议使用对称密钥（如 HMAC）或非对称密钥（如 RSA）签名
- 在 token 中加入 iss（issuer）、aud（audience）字段，明确服务角色
- 设置合理过期时间（exp），避免长期有效带来的风险
Bearer
基于 mTLS 的双向 TLS 认证
mTLS（Mutual TLS）要求客户端和服务端都提供证书，实现双向身份验证，适合高安全场景。
立即学习“go语言免费学习笔记（深入）”；
Golang 标准库 net/http 和 crypto/tls 原生支持 mTLS，配置即可启用。
- 为每个服务签发唯一证书，由私有 CA 签名
- 服务启动时加载证书和私钥，并开启 ClientAuth 验证
- 通过证书中的 Common Name 或 SAN 字段识别服务身份
- 结合 Istio、Linkerd 等服务网格可简化证书管理
引入服务注册与发现 + 元数据验证
在服务注册时附加身份标识（如 service-id、token），调用方通过注册中心获取目标服务信息并验证。
结合 Consul、etcd 或 Nacos 可实现动态身份管理。
- 服务启动时向注册中心写入元数据（metadata），包含身份标签
- 调用前查询目标服务元数据，校验其身份合法性
- 可配合短周期 token 或定期刷新机制提升安全性
统一网关 + 内部认证代理
所有服务间流量经过统一网关或边车代理（Sidecar），由代理完成认证，减轻业务代码负担。
- 在网关层验证 JWT 或 mTLS，转发时注入服务身份头（如 X-Service-Id）
- 业务服务只需信任网关转发的请求，简化权限判断
- 便于集中日志、监控和策略更新
基本上就这些。根据安全等级选择合适方案：一般场景用 JWT，高安全选 mTLS，复杂架构可结合服务网格。关键是不让认证逻辑侵入业务，保持清晰边界。
