Go语言中实现HTTP Basic Auth的惯用方法

package main

import (
    "crypto/subtle"
    "fmt"
    "net/http"
)

// BasicAuth是一个高阶函数，它包装一个http.HandlerFunc，
// 要求使用给定的用户名、密码和领域（realm）进行HTTP基本认证。
// 领域字符串不应包含引号，因为它会被直接插入到WWW-Authenticate头中。
// 浏览器通常会显示一个类似“网站提示：<realm>”的对话框，
// 因此将realm设置为有意义的提示信息而非实际的领域名称会更好。
func BasicAuth(handler http.HandlerFunc, username, password, realm string) http.HandlerFunc {
    return func(w http.ResponseWriter, r *http.Request) {
        // 尝试从请求中解析Basic Auth凭据
        user, pass, ok := r.BasicAuth()

        // 检查凭据是否存在，并使用ConstantTimeCompare进行安全比较
        // ConstantTimeCompare用于防止时序攻击，即使凭据长度不同，
        // 比较时间也会有所差异，但对于相同长度的字符串，它能有效缓解攻击。
        if !ok || subtle.ConstantTimeCompare([]byte(user), []byte(username)) != 1 || subtle.ConstantTimeCompare([]byte(pass), []byte(password)) != 1 {
            // 认证失败，设置WWW-Authenticate头，要求客户端提供凭据
            w.Header().Set("WWW-Authenticate", `Basic realm="`+realm+`"`)
            w.WriteHeader(http.StatusUnauthorized) // 返回401 Unauthorized状态码
            w.Write([]byte("Unauthorised.\n"))
            return
        }

        // 认证成功，执行被包装的原始处理器
        handler(w, r)
    }
}

// handleIndex是受保护的业务逻辑处理器
func handleIndex(w http.ResponseWriter, r *http.Request) {
    fmt.Fprintf(w, "Welcome to the protected area!\n")
}

// handlePublic是无需认证的业务逻辑处理器
func handlePublic(w http.ResponseWriter, r *http.Request) {
    fmt.Fprintf(w, "This is a public area, no authentication needed.\n")
}

func main() {
    // 应用BasicAuth中间件保护/路由
    http.HandleFunc("/", BasicAuth(handleIndex, "admin", "123456", "请为本站点输入您的用户名和密码"))

    // 未受保护的路由
    http.HandleFunc("/public", handlePublic)

    fmt.Println("Server started on :8080")
    http.ListenAndServe(":8080", nil)
}

package main

import (
    "crypto/subtle"
    "fmt"
    "net/http"

    "github.com/gorilla/mux" // 引入Gorilla Mux
)

// BasicAuth 函数与之前相同
func BasicAuth(handler http.HandlerFunc, username, password, realm string) http.HandlerFunc {
    return func(w http.ResponseWriter, r *http.Request) {
        user, pass, ok := r.BasicAuth()
        if !ok || subtle.ConstantTimeCompare([]byte(user), []byte(username)) != 1 || subtle.ConstantTimeCompare([]byte(pass), []byte(password)) != 1 {
            w.Header().Set("WWW-Authenticate", `Basic realm="`+realm+`"`)
            w.WriteHeader(http.StatusUnauthorized)
            w.Write([]byte("Unauthorised.\n"))
            return
        }
        handler(w, r)
    }
}

func handleIndex(w http.ResponseWriter, r *http.Request) {
    fmt.Fprintf(w, "Welcome to the protected area using Gorilla Mux!\n")
}

func handlePublic(w http.ResponseWriter, r *http.Request) {
    fmt.Fprintf(w, "This is a public area via Gorilla Mux.\n")
}

func main() {
    router := mux.NewRouter()

    // 使用BasicAuth保护/路由
    router.HandleFunc("/", BasicAuth(handleIndex, "admin", "123456", "Mux Protected Site")).Methods("GET")

    // 未受保护的路由
    router.HandleFunc("/public", handlePublic).Methods("GET")

    fmt.Println("Gorilla Mux Server started on :8080")
    http.ListenAndServe(":8080", router)
}