Go語言入門篇-jwt（json web token）權限驗證

一。token、cookie、session的區別

1。cookie

Cookie總是保存在客戶端中，按在客戶端中的存儲位置，可分為內存Cookie和硬盤Cookie。

內存Cookie由瀏覽器維護，保存在內存中，瀏覽器關閉后就消失了，其存在時間是短暫的。

硬盤Cookie保存在硬盤里，有一個過期時間，除非用戶手工清理或到了過期時間，硬盤Cookie不會被刪除，其存在時間是長期的。

所以，按存在時間，可分為非持久Cookie和持久Cookie。

cookie 是一個非常具體的東西，指的就是瀏覽器里面能永久存儲的一種數據，僅僅是瀏覽器實現的一種數據存儲功能。 cookie由服務器生成，發送給瀏覽器，瀏覽器把cookie以key-value形式保存到某個目錄下的文本文件內，下一次請求同一網站時會把該cookie發送給服務器。

由於cookie是存在客戶端上的，所以瀏覽器加入了一些限制確保cookie不會被惡意使用，同時不會占據太多磁盤空間，所以每個域的cookie數量是有限的。

2。session

session 從字面上講，就是會話。這個就類似於你和一個人交談，你怎么知道當前和你交談的是張三而不是李四呢？對方肯定有某種特征（長相等）表明他就是張三。

session 也是類似的道理，服務器要知道當前發請求給自己的是誰。為了做這種區分，服務器就要給每個客戶端分配不同的“身份標識”，

然后客戶端每次向服務器發請求的時候，都帶上這個“身份標識”，服務器就知道這個請求來自於誰了。至於客戶端怎么保存這個“身份標識”，

可以有很多種方式，對於瀏覽器客戶端，大家都默認采用 cookie 的方式。

服務器使用session把用戶的信息臨時保存在了服務器上，用戶離開網站后session會被銷毀。這種用戶信息存儲方式相對cookie來說更安全，

可是session有一個缺陷：如果web服務器做了負載均衡，那么下一個操作請求到了另一台服務器的時候session會丟失。

3。token

token的意思是“令牌”，是用戶身份的驗證方式.

最簡單的token組成:

【1】uid(用戶唯一的身份標識)
【2】time(當前時間的時間戳)
【3】sign(簽名，由token的前幾位+鹽以哈希算法壓縮成一定長的十六進制字符串，
 可以防止惡意第三方拼接token請求服務器)。還可以把不變的參數也放進token，避免多次查庫 這里的token是指SON Web Token

用戶注冊之后, 服務器生成一個 JWT token返回給瀏覽器, 瀏覽器向服務器請求數據時將 JWT token 發給服務器,

服務器用 signature 中定義的方式解碼 

WT 獲取用戶信息.

一個 JWT token包含3部分: 
【1】header: 告訴我們使用的算法和 token 類型 
【2】Payload: 必須使用 sub key 來指定用戶 ID, 還可以包括其他信息比如 email, username 等. 
【3】Signature: 用來保證 JWT 的真實性. 可以使用不同算法 

二。jwt（json web token）權限驗證

完整代碼：

package main

import (
    "log"
    "net/http"
    "github.com/codegangsta/negroni"
    "encoding/json"
    "fmt"
    "strings"
    "github.com/dgrijalva/jwt-go"
    "time"
    "github.com/dgrijalva/jwt-go/request"
)

/**
說明：
客戶端通過在request對象header里添加token參數，發送到服務端。
服務端再拿出token進行比對。
token的第一次產生是發生在login檢查賬戶存在並且正確之后，為該用戶賦予一塊令牌（加密字符串）
並將token放入response的header里。客戶端登陸成功后，從response里取出token。並在以后操作request請求。
都保持在header里添加該段令牌，令牌有效期失效后，只有重新login，才能獲取新的令牌。
*/
const (
    //SecretKey = "welcome to wangshubo's blog"
    SecretKey = "I have login"
)

func fatal(err error) {
    if err != nil {
        log.Fatal(err)
    }
}

type UserCredentials struct {
    Username string `json:"username"`
    Password string `json:"password"`
}

type User struct {
    ID       int    `json:"id"`
    Name     string `json:"name"`
    Username string `json:"username"`
    Password string `json:"password"`
}

type Response struct {
    Data string `json:"data"`
}

type Token struct {
    Token string `json:"token"`
}

func StartServer() {

    http.HandleFunc("/login", LoginHandler)

    http.Handle("/resource", negroni.New(
        negroni.HandlerFunc(ValidateTokenMiddleware),
        negroni.Wrap(http.HandlerFunc(ProtectedHandler)),
    ))

    log.Println("Now listening...")
    http.ListenAndServe(":8080", nil)
}

func main() {
    StartServer()
}

func ProtectedHandler(w http.ResponseWriter, r *http.Request) {

    response := Response{"Gained access to protected resource !"}
    JsonResponse(response, w)

}

//服務端生成token，並放入到response的header
/**
JWT由三部份組成：
* Header:頭部 （對應：Header）
* Claims:聲明 (對應：Payload)
* Signature:簽名 (對應：Signature)
*/
func LoginHandler(w http.ResponseWriter, r *http.Request) {

    var u *User=new(User)

    var user UserCredentials

    err := json.NewDecoder(r.Body).Decode(&user)

    if err != nil {
        w.WriteHeader(http.StatusForbidden)
        fmt.Fprint(w, "Error in request")
        return
    }

    //驗證是身份：若用戶是someone，則生成token
    if strings.ToLower(user.Username) != "someone" {
        if user.Password != "p@ssword" {
            w.WriteHeader(http.StatusForbidden)
            fmt.Println("Error logging in")
            fmt.Fprint(w, "Invalid credentials")
            return
        }
    }

    //1。生成token
    token := jwt.New(jwt.SigningMethodHS256)
    claims := make(jwt.MapClaims)
    //2。添加令牌關鍵信息
    //添加令牌期限
    claims["exp"] = time.Now().Add(time.Hour * time.Duration(1)).Unix()
    claims["iat"] = time.Now().Unix()
    claims["id"]=u.ID
    claims["userName"]=u.Username
    claims["password"]=u.Password
    token.Claims = claims

    fmt.Println(claims)

    if err != nil {
        w.WriteHeader(http.StatusInternalServerError)
        fmt.Fprintln(w, "Error extracting the key")
        fatal(err)
    }

    //獲取令牌
    tokenString, err := token.SignedString([]byte(SecretKey))
    if err != nil {
        w.WriteHeader(http.StatusInternalServerError)
        fmt.Fprintln(w, "Error while signing the token")
        fatal(err)
    }

    //2。將生成的token放入到header
    response := Token{tokenString}
    JsonResponse(response, w)

}

//驗證Token
func ValidateTokenMiddleware(w http.ResponseWriter, r *http.Request, next http.HandlerFunc) {
    token, err := request.ParseFromRequest(r, request.AuthorizationHeaderExtractor,
        func(token *jwt.Token) (interface{}, error) {
            return []byte(SecretKey), nil
        })

    if err == nil {
        if token.Valid {
            next(w, r)
        } else {
            w.WriteHeader(http.StatusUnauthorized)
            fmt.Fprint(w, "Token is not valid")
        }
    } else {
        w.WriteHeader(http.StatusUnauthorized)
        fmt.Fprint(w, "Unauthorized access to this resource")
    }

}

func JsonResponse(response interface{}, w http.ResponseWriter) {
    json, err := json.Marshal(response)
    if err != nil {
        http.Error(w, err.Error(), http.StatusInternalServerError)
        return
    }
    w.WriteHeader(http.StatusOK)
    w.Header().Set("Content-Type", "application/json")
    w.Write(json)
}

通過postman進行驗證：

Step1：發送登錄請求

Step2:使用服務端返回客戶端的token去驗證有效性(根據獲得的token進行get請求)

 

參考博客：https://blog.csdn.net/wangshubo1989/article/details/74529333