使用Golang实现JWT认证与授权，通过bcrypt加密密码，结合中间件校验Token并注入用户信息，扩展Claims支持角色字段，实现基于角色的访问控制，构建安全可靠的Web应用认证体系。
在构建现代 Web 应用时，用户认证与授权是保障系统安全的核心环节。Golang 凭借其高性能和简洁的语法，非常适合用于实现身份验证逻辑。下面介绍如何使用 Golang 实现基本的用户认证与授权机制，并结合实际场景给出可落地的实践方案。
实现基于 JWT 的用户认证
JSON Web Token（JWT）是一种轻量级的身份验证方案，适合无状态的 API 服务。用户登录后，服务器生成一个包含用户信息的 Token，客户端后续请求携带该 Token 进行身份识别。
使用 github.com/golang-jwt/jwt/v5 可以轻松实现 JWT 签发与解析：
import (
"net/http"
"time"
"github.com/golang-jwt/jwt/v5"
)
var jwtKey = []byte("your_secret_key")
立即学习“go语言免费学习笔记（深入）”；
type Claims struct {
UserID uint json:"user_id"
jwt.RegisteredClaims
}
func generateToken(userID uint) (string, error) {
expirationTime := time.Now().Add(24 * time.Hour)
claims := &Claims{
UserID: userID,
RegisteredClaims: jwt.RegisteredClaims{
ExpiresAt: jwt.NewNumericDate(expirationTime),
IssuedAt: jwt.NewNumericDate(time.Now()),
},
}
token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
return token.SignedString(jwtKey)
}
登录接口调用 generateToken 生成 Token 并返回给前端，通常放在响应头或 JSON 正文中。
中间件校验 Token 实现请求保护
为了保护需要登录才能访问的路由，可以编写一个中间件来拦截请求并验证 JWT。
func authMiddleware(next http.HandlerFunc) http.HandlerFunc {
return func(w http.ResponseWriter, r *http.Request) {
tokenStr := r.Header.Get("Authorization")
if tokenStr == "" {
http.Error(w, "missing token", http.StatusUnauthorized)
return
}
// 去除 Bearer 前缀
if len(tokenStr) > 7 && tokenStr[:7] == "Bearer " {
tokenStr = tokenStr[7:]
}
claims := &Claims{}
token, err := jwt.ParseWithClaims(tokenStr, claims, func(token *jwt.Token) (interface{}, error) {
return jwtKey, nil
})
if err != nil || !token.Valid {
http.Error(w, "invalid or expired token", http.StatusUnauthorized)
return
}
// 将用户 ID 注入上下文，供后续处理函数使用
ctx := context.WithValue(r.Context(), "userID", claims.UserID)
next.ServeHTTP(w, r.WithContext(ctx))
}}
注册受保护的路由时使用该中间件：
http.HandleFunc("/profile", authMiddleware(profileHandler))
基于角色的简单授权控制
认证解决“你是谁”，授权决定“你能做什么”。可以在用户信息中加入角色字段（如 admin、user），并在关键接口中进行权限判断。
扩展 Claims 结构：
type Claims struct {
UserID uint `json:"user_id"`
Role string `json:"role"`
jwt.RegisteredClaims
}
在处理函数中检查角色：
func adminOnly(w http.ResponseWriter, r *http.Request) {
userID := r.Context().Value("userID").(uint)
role := r.Context().Value("role").(string)
if role != "admin" {
http.Error(w, "forbidden: admin only", http.StatusForbidden)
return
}
w.Write([]byte("welcome admin, user ID: " + fmt.Sprint(userID)))}
也可封装成专用中间件，提升代码复用性。
密码安全与用户存储建议
用户密码绝不能明文存储。使用 Go 标准库中的 golang.org/x/crypto/bcrypt 进行哈希加密。
import "golang.org/x/crypto/bcrypt"func hashPassword(password string) (string, error) { bytes, err := bcrypt.GenerateFromPassword([]byte(password), 12) return string(bytes), err }
func checkPassword(hash, password string) bool { err := bcrypt.CompareHashAndPassword([]byte(hash), []byte(password)) return err == nil }
注册时对密码哈希存储，登录时比对哈希值。数据库推荐保存字段：id、username/email、password_hash、role、created_at 等。
基本上就这些。通过 JWT + 中间件 + bcrypt 的组合，可以快速搭建一个安全可靠的认证授权体系。对于更复杂的权限模型（如 RBAC），可引入策略引擎或数据库驱动的角色权限表。关键是保持逻辑清晰，避免在业务代码中混杂安全判断。不复杂但容易忽略细节，比如 Token 过期刷新、黑名单登出、跨域携带凭证等，需根据实际需求逐步完善。
