HTTP API 认证技术详解（三）：JWT Authentication

什么是 JWT Authentication 认证

JWT 的组成部分

JWT 的工作流程

使用 Golang 实现 JWT Authentication 认证

安全注意事项

JWT Authentication 认证的优缺点

小结

HTTP API 认证技术主要用于验证客户端身份，并确保只有经过授权的实体才能访问受保护的资源。随着安全需求的日益增长，API 认证技术也在不断发展和演进。本文将详细讲解 Digest Access Authentication 认证技术。

什么是 JWT Authentication 认证

JWT（JSON Web Tokens）是一种开放标准（RFC 7519），定义了一种紧凑的、自包含的格式，用于实现网络应用程序中的身份验证和授权机制。

JWT 的组成部分

一个 JWT 通常由三部分组成，分别是头部（Header）、负载（Payload）和签名（Signature）。

头部 (Header)：这部分包含了 JWT 的元数据，如类型（通常是JWT）和所使用的签名算法（如 AES256 或 RSA）。
负载 (Payload)：包含了实际需要传递的数据，通常包括用户的身份信息（如用户 ID）以及一些元数据（如令牌的有效期）。
签名 (Signature)：对前两部分进行签名以确保数据的完整性和真实性。服务端生成签名时会使用一个密钥，客户端使用这个密钥（或者公钥）来验证签名的有效性。

JWT 的工作流程

用户在客户端使用登录凭证（如用户名和密码）登录系统。
系统验证登录凭证的有效性，如果验证通过的话生成一个 JWT 并返回给客户端。
客户端存储 JWT，并在随后的请求中将其作为认证凭证发送给服务端。
服务端验证 JWT 的签名，并从中提取用户信息以完成认证过程。

使用 Golang 实现 JWT Authentication 认证

实现生成 JWT 令牌的函数，首先需要一个处理 JWT 的库。github.com/dgrijalva/jwt-go 是 Go 中一个比较流行的 JWT 库，接下来会使用这个库来实现。简单示例代码如下：

package mainimport ("fmt""github.com/dgrijalva/jwt-go""time"
)var jwtKey = []byte("my_secret_key")type Claims struct {Username string `json:"username"`jwt.StandardClaims
}func GenerateJWT(username string) (string, error) {expirationTime := time.Now().Add(5 * time.Minute)claims := &Claims{Username: username,StandardClaims: jwt.StandardClaims{ExpiresAt: expirationTime.Unix(),},}token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)tokenString, err := token.SignedString(jwtKey)if err != nil {return "", err}return tokenString, nil
}func main() {tokenString, err := GenerateJWT("user1")if err != nil {fmt.Println("Error generating token:", err)return}fmt.Println("Generated Token:", tokenString)
}

定义了一个 Claims 结构体，包含用户的用户名和标准 JWT 声明，使用了一个简单的密钥来签名令牌，并设置了5分钟的过期时间。

实现验证 JWT 令牌的函数，用户每次请求时，服务端需要验证 JWT 令牌。解析和验证JWT的示例代码如下：

func ValidateJWT(tokenString string) (*Claims, error) {claims := &Claims{}token, err := jwt.ParseWithClaims(tokenString, claims, func(token *jwt.Token) (interface{}, error) {return jwtKey, nil})if err != nil {return nil, err}if !token.Valid {return nil, fmt.Errorf("invalid token")}return claims, nil
}

创建一个 HTTP 服务，完整代码如下：

package mainimport ("encoding/json""fmt""github.com/dgrijalva/jwt-go""net/http""time"
)var jwtKey = []byte("my_secret_key")type Claims struct {Username string `json:"username"`jwt.StandardClaims
}func GenerateJWT(username string) (string, error) {expirationTime := time.Now().Add(5 * time.Minute)claims := &Claims{Username: username,StandardClaims: jwt.StandardClaims{ExpiresAt: expirationTime.Unix(),},}token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)tokenString, err := token.SignedString(jwtKey)if err != nil {return "", err}return tokenString, nil
}func ValidateJWT(tokenString string) (*Claims, error) {claims := &Claims{}token, err := jwt.ParseWithClaims(tokenString, claims, func(token *jwt.Token) (interface{}, error) {return jwtKey, nil})if err != nil {return nil, err}if !token.Valid {return nil, fmt.Errorf("invalid token")}return claims, nil
}func Login(w http.ResponseWriter, r *http.Request) {// 假设我们从请求中获取用户名和密码username := r.FormValue("username")// password = r.FormValue("password")// 这里应该验证用户名和密码的正确性// 为了示例，我们假设任何用户名密码组合都是有效的tokenString, err := GenerateJWT(username)if err != nil {w.WriteHeader(http.StatusInternalServerError)return}w.Write([]byte(tokenString))
}func Home(w http.ResponseWriter, r *http.Request) {tokenString := r.Header.Get("Authorization")claims, err := ValidateJWT(tokenString)if err != nil {w.WriteHeader(http.StatusUnauthorized)return}json.NewEncoder(w).Encode(claims)
}func main() {http.HandleFunc("/login", Login)http.HandleFunc("/home", Home)http.ListenAndServe(":8080", nil)
}

有两个路由处理函数，Login 函数生成 JWT 并返回给用户。Home 函数则需要用户将 JWT作为 Authorization（也可以使用其他字段）头部发送，以验证用户的请求。