01

介绍

JSON Web Token(JWT)是一个开放标准(RFC 7519)，它定义了一种方式，用于在各方之间安全地将信息作为 JSON 对象传输。由于此信息是经过数字签名的，因此可以被验证和信任。可以使用秘密(使用 HMAC 算法)或使用 RSA 或 ECDSA 的公钥/私钥对对 JWT 进行签名。

尽管可以对 JWT 进行加密以提供双方之间的保密性，但我们将重点关注已签名的令牌(signed tokens)。签名的令牌可以验证其中包含的声明的完整性，而加密的令牌则将这些声明隐藏。当使用公钥/私钥对对令牌进行签名时，签名还证明只有持有私钥的一方才是对其进行签名的一方。

因为本文主要是介绍 jwt-go 库的使用方法，所以关于 jwt 的内容不再深入介绍，感兴趣的读者，如果想要了解更多关于 JWT 的内容，可以访问 jwt.io。

安装 jwt-go

go get -u github.com/dgrijalva/jwt-go@v3.2.0

02

生成 token

使用 jwt-go 库生成 token，我们需要定义需求(claims)，也就是说我们需要通过 jwt 传输的数据。假如我们需要传输 ID 和 Username，我们可以定义 Claims 结构体，其中包含 ID 和 Username 字段，还有在 jwt-go 包预定义的 jwt.StandardClaims。

type Claims struct {  ID       int64  Username string  jwt.StandardClaims}

jwt.StandardClaims 包含的字段：

type StandardClaims struct {  Audience  string `json:"aud,omitempty"`  ExpiresAt int64  `json:"exp,omitempty"`  Id        string `json:"jti,omitempty"`  IssuedAt  int64  `json:"iat,omitempty"`  Issuer    string `json:"iss,omitempty"`  NotBefore int64  `json:"nbf,omitempty"`  Subject   string `json:"sub,omitempty"`}

其中 ExpiresAt 和 Issuer 分别是过期时间和签发者。

使用 jwt-go 库根据指定的算法生成 jwt token ，主要用到两个方法：

jwt.NewWithClaims 方法：

func jwt.NewWithClaims(method jwt.SigningMethod, claims jwt.Claims) *jwt.Token

jwt.NewWithClaims 方法根据 Claims 结构体创建 Token 示例。

参数 1 是 jwt.SigningMethod，

其中包含

jwt.SigningMethodHS256，

jwt.SigningMethodHS384，

jwt.SigningMethodHS512 

三种 crypto.Hash 加密算法的方案。

参数 2 是 Claims，包含自定义类型和 StandardClaim，StandardClaim 嵌入在自定义类型中，以方便对标准声明进行编码，解析和验证。

SignedString 方法：

func (*jwt.Token).SignedString(key interface{}) (string, error)

SignedString 方法根据传入的空接口类型参数 key，返回完整的签名令牌。

示例代码：

func GenerateToken() (string, error) {  nowTime := time.Now()  expireTime := nowTime.Add(300 * time.Second)  issuer := "frank"  claims := MyCustomClaims{    ID:       10001,    Username: "frank",    StandardClaims: jwt.StandardClaims{      ExpiresAt: expireTime.Unix(),      Issuer:    issuer,    },  }  token, err := jwt.NewWithClaims(jwt.SigningMethodHS256, claims).SignedString([]byte("golang"))  return token, err}

03

解析 token

使用 jwt-go 库解析 token，主要用到两个方法，分别用通过与解析传入的 token 字符串，和根据 MyCustomClaims 结构体定义的相关属性要求进行校验。

jwt.ParseWithClaims 方法：

func jwt.ParseWithClaims(tokenString string, claims jwt.Claims, keyFunc jwt.Keyfunc) (*jwt.Token, error)

jwt.ParseWithClaims 方法用于解析鉴权的声明，返回 *jwt.Token。

Valid 方法用于校验鉴权的声明。

示例代码：

func ParseToken(token string) (*MyCustomClaims, error) {  tokenClaims, err := jwt.ParseWithClaims(token, &MyCustomClaims{}, func(token *jwt.Token) (interface{}, error) {    return []byte("golang"), nil  })  if err != nil {    return nil, err  }  if tokenClaims != nil {    if claims, ok := tokenClaims.Claims.(*MyCustomClaims); ok && tokenClaims.Valid {      return claims, nil    }  }  return nil, err}

04

总结

本文开头介绍了什么是 JWT，和怎么安装 jwt-go 库。然后通过生成 token 和解析 token 两个示例，介绍了其中需要用到的四个方法。jwt-go 库还有很多其他方法，限于篇幅，没有一一介绍。感兴趣的读者，可以阅读 jwt-go 库的文档进一步了解。

关注微信公众号，发送关键字「资料」，免费获取 Go 语言学习资料。

参考资料：

https://github.com/dgrijalva/jwt-go

https://jwt.io/introduction

推荐阅读：

Go team 开源项目 Go Cloud 使用的依赖注入工具 Wire 怎么使用？

Golang 语言怎么使用 Viper 管理配置信息？

Golang 语言的值验证库 Validator 怎么使用？