Go Gin 中使用 JWT

一、JWT

JWT全称JSON Web Token是一种跨域认证解决方案，属于一个开放的标准，它规定了一种Token实现方式，目前多用于前后端分离项目和OAuth2.0业务场景下。

二、为什么要用在你的Gin中使用JWT

传统的Cookie-Sesson模式占用服务器内存, 拓展性不好,遇到集群或者跨服务验证的场景的话, 要支持Sesson复制或者sesson持久化

1.JWT的基本原理

在服务器验证之后, 得到用户信息JSON

1 2 3 4 5

{      "user_id": "xxxxxx",     "role": "xxxxxx",     "refresh_token": "xxxxx" }

（1）JWT TOKEN怎么组成

JWT是一个很长的字符串

eyJhbGciOiJI123afasrwrqqewrcCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

它由三部分组成, 每部分用点(.)分隔, 三个部分依次如下

 

• Header(头部)
• Payload(负载)
• Signature(签名)

1）Header

Header是一个经过BASE64URL算法加密过的JSON对象, 解密后如下

1 2 3 4

{   "alg": "HS256",   "typ": "JWT" }

其中, alg属性表示签名所用的算法,默认是HS256;

typ则表示当前token的类型, 而JWT的类型则为jwt

Base64URL

与BASE64类似, 由于+、/、=这几个符号在URL中有特殊含义, 因此BASE64RUL算法, 把这几个符号进行了替换

+ -> -

= -> 被忽略

/ -> _

2）Payload

Payload部分也是JSON对象经过BASE64URL算法转成字符串的, Payload部分包含7个基本字段

• iss (issuer)：签发人
• exp (expiration time)：过期时间
• sub (subject)：主题
• aud (audience)：受众
• nbf (Not Before)：生效时间
• iat (Issued At)：签发时间
• jti (JWT ID)：编号

也可以往里面塞入自定义的业务字段, 如下

user_id

role

3）Signature

Signature 部分是对前两部分的签名，防止数据篡改。

首先，需要指定一个密钥（secret）。这个密钥只有服务器才知道，不能泄露给用户。然后，使用 Header 里面指定的签名算法（默认是 HMAC SHA256），按照下面的公式产生签名。

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

（2）解密过程

当系统接收到TOKEN时, 拿出Header和Payload的字符串用.拼接在一起之后, 用Header里面指定的哈希方法通过公式

HMACSHA256(
  base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

进行加密得出密文

然后用刚刚得出的密文与TOKEN传过来的密文对比, 如果相等则表明密文没有更改.

三、JWT一些特点（优点与缺点）

• JWT 默认是不加密，但也是可以加密的。生成原始 Token 以后，可以用密钥再加密一次。
• JWT 不加密的情况下，不能将秘密数据写入 JWT。
• JWT 不仅可以用于认证，也可以用于交换信息。有效使用 JWT，可以降低服务器查询数据库的次数。
• JWT 的最大缺点是，由于服务器不保存 session 状态，因此无法在使用过程中废止某个 token，或者更改 token 的权限。也就是说，一旦 JWT 签发了，在到期之前就会始终有效，除非服务器部署额外的逻辑。
• JWT 本身包含了认证信息，一旦泄露，任何人都可以获得该令牌的所有权限。为了减少盗用，JWT 的有效期应该设置得比较短。对于一些比较重要的权限，使用时应该再次对用户进行认证。
• 为了减少盗用，JWT 不应该使用 HTTP 协议明码传输，要使用 HTTPS 协议传输。

1.GIN整合JWT

1 2	go get -u github.com/dgrijalva/jwt-go go get github.com/gin-gonic/gin

编写jwtutil

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45

var Secret = []byte("whatasecret") // jwt过期时间, 按照实际环境设置 const expiration = 2 * time.Minute type Claims struct {     // 自定义字段, 可以存在用户名, 用户ID, 用户角色等等     Username string     // jwt.StandardClaims包含了官方定义的字段     jwt.StandardClaims } func GenToken(username string) (string, error) {     // 创建声明     a := &Claims{         Username: username,         StandardClaims: jwt.StandardClaims{             ExpiresAt: time.Now().Add(expiration).Unix(), // 过期时间             IssuedAt:  time.Now().Unix(),                 // 签发时间             Issuer:    "gin-jwt-demo",                    // 签发者             Id:        "",                                // 按需求选这个, 有些实现中, 会控制这个ID是不是在黑/白名单来判断是否还有效             NotBefore: 0,                                 // 生效起始时间             Subject:   "",                                // 主题         },     }     // 用指定的哈希方法创建签名对象     tt := jwt.NewWithClaims(jwt.SigningMethodHS256, a)     // 用上面的声明和签名对象签名字符串token     // 1. 先对Header和PayLoad进行Base64URL转换     // 2. Header和PayLoadBase64URL转换后的字符串用.拼接在一起     // 3. 用secret对拼接在一起之后的字符串进行HASH加密     // 4. 连在一起返回     return tt.SignedString(Secret) } func ParseToken(tokenStr string) (*Claims, error) {     // 第三个参数: 提供一个回调函数用于提供要选择的秘钥, 回调函数里面的token参数,是已经解析但未验证的,可以根据token里面的值做一些逻辑, 如`kid`的判断     token, err := jwt.ParseWithClaims(tokenStr, &Claims{}, func(token *jwt.Token) (interface{}, error) {         return Secret, nil     })     if err != nil {         return nil, err     }     // 校验token     if claims, ok := token.Claims.(*Claims); ok && token.Valid {         return claims, nil     }     return nil, errors.New("invalid token") }

• Secret是秘钥, 用于加密签名
• expiration是TOKEN过期时间
• Claims是签名声明对象, 包含自定义的字段和JWT规定的字段

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

type Claims struct {     // 自定义字段, 可以存在用户名, 用户ID, 用户角色等等     Username string     // jwt.StandardClaims包含了官方定义的字段     jwt.StandardClaims } type StandardClaims struct {     Audience  string `json:"aud,omitempty"`     ExpiresAt int64  `json:"exp,omitempty"`     Id        string `json:"jti,omitempty"`     IssuedAt  int64  `json:"iat,omitempty"`     Issuer    string `json:"iss,omitempty"`     NotBefore int64  `json:"nbf,omitempty"`     Subject   string `json:"sub,omitempty"` }

（1）GenToken方法

GenToken方法为某个username生成一个token, 每次生成都不一样

jwt.NewWithClaims(jwt.SigningMethodHS256, a)声明了一个签名对象, 并且指定了HS256的哈希算法

token.SignedString(Secret)表明用刚刚的声明对象和SECRET利用指定的哈希算法去加密,包含下面流程

• 先对Header和PayLoad进行Base64URL转换
• Header和PayLoadBase64URL转换后的字符串用.拼接在一起
• 用secret对拼接在一起之后的字符串进行HASH加密
• BASE64URL(Header).BASE64URL(Payload).signature连在一起的字符串返回

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22

func GenToken(username string) (string, error) {     // 创建声明     a := &Claims{         Username: username,         StandardClaims: jwt.StandardClaims{             ExpiresAt: time.Now().Add(expiration).Unix(), // 过期时间             IssuedAt:  time.Now().Unix(),                 // 签发时间             Issuer:    "gin-jwt-demo",                    // 签发者             Id:        "",                                // 按需求选这个, 有些实现中, 会控制这个ID是不是在黑/白名单来判断是否还有效             NotBefore: 0,                                 // 生效起始时间             Subject:   "",                                // 主题         },     }     // 用指定的哈希方法创建签名对象     tt := jwt.NewWithClaims(jwt.SigningMethodHS256, a)     // 用上面的声明和签名对象签名字符串token     // 1. 先对Header和PayLoad进行Base64URL转换     // 2. Header和PayLoadBase64URL转换后的字符串用.拼接在一起     // 3. 用secret对拼接在一起之后的字符串进行HASH加密     // 4. 连在一起返回     return tt.SignedString(Secret) }

（2）ParseToken方法

ParseToken方法解析一个Token, 并验证Token是否生效

jwt.ParseWithClaims方法, 用于解析Token, 其第三个参数:

提供一个回调函数用于提供要选择的秘钥, 回调函数里面的token参数,是已经解析但未验证的,可以根据token里面的值做一些逻辑, 如判断kid来选用不同的secret

KID（可选): 代表秘钥序号。开发人员可以用它标识认证token的某一秘钥

1 2 3 4 5 6 7 8 9 10 11 12 13 14

func ParseToken(tokenStr string) (*Claims, error) {     // 第三个参数: 提供一个回调函数用于提供要选择的秘钥, 回调函数里面的token参数,是已经解析但未验证的,可以根据token里面的值做一些逻辑, 如`kid`的判断     token, err := jwt.ParseWithClaims(tokenStr, &Claims{}, func(token *jwt.Token) (interface{}, error) {         return Secret, nil     })     if err != nil {         return nil, err     }     // 校验token     if claims, ok := token.Claims.(*Claims); ok && token.Valid {         return claims, nil     }     return nil, errors.New("invalid token") }

编写中间件

从Header中取出Authorization并拿去解析jwt.ParseToken,

验证token是否被串改, 是否过期

从token取出有效信息并设置到上下文

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30

func JWTAuthMiddleware() func(ctx *gin.Context) {     return func(ctx *gin.Context) {         // 根据实际情况取TOKEN, 这里从request header取         tokenStr := ctx.Request.Header.Get("Authorization")         if tokenStr == "" {             ctx.AbortWithStatusJSON(http.StatusUnauthorized, gin.H{                 "code": code.ERR_AUTH_NULL,                 "msg":  code.GetMsg(code.ERR_AUTH_NULL),             })             return         }         claims, err := jwt.ParseToken(tokenStr)         if err != nil {             ctx.AbortWithStatusJSON(http.StatusUnauthorized, gin.H{                 "code": code.ERR_AUTH_INVALID,                 "msg":  code.GetMsg(code.ERR_AUTH_INVALID),             })             return         } else if time.Now().Unix() > claims.ExpiresAt {             ctx.AbortWithStatusJSON(http.StatusUnauthorized, gin.H{                 "code": code.ERR_AUTH_EXPIRED,                 "msg":  code.GetMsg(code.ERR_AUTH_EXPIRED),             })             return         }         // 此处已经通过了, 可以把Claims中的有效信息拿出来放入上下文使用         ctx.Set("username", claims.Username)         ctx.Next()     } }

使用中间件

/login不用中间件

中间件指定在authorizedrouter, 因此authorized下的所有路由都会使用此中间件

1 2 3 4 5 6 7 8 9 10

func main() {     r := gin.Default()     r.POST("/login", router.Login)     authorized := r.Group("/auth")     authorized.Use(jwt.JWTAuthMiddleware())     {         authorized.GET("/getUserInfo", router.GetUserInfo)     }     r.Run(":8082") }

测试

login请求获取token

POST http://localhost:8082/login

 

把token放入getUserInfo请求

GET  http://localhost:8082/auth/getUserInfo

 

其他

完整的JWT登录还应该包括

• 使TOKEN失效(过期或者黑名单等功能)
• refresh token
• …