基於 go-zero 輕鬆實現 JWT 認證

關於 JWT 是什麼，大家可以看看官網，一句話介紹下：是可以實現伺服器無狀態的鑑權認證方案，也是目前最流行的跨域認證解決方案。

要實現 JWT 認證，我們需要分成如下兩個步驟

• 客戶端獲取 JWT token。
• 伺服器對客戶端帶來的 JWT token 認證。

1. 客戶端獲取 JWT Token

我們定義一個協議供客戶端呼叫獲取 JWT token，我們新建一個目錄 jwt 然後在目錄中執行 goctl api -o jwt.api，將生成的 jwt.api 改成如下：

type JwtTokenRequest struct {
}

type JwtTokenResponse struct {
  AccessToken  string `json:"access_token"`
  AccessExpire int64  `json:"access_expire"`
  RefreshAfter int64  `json:"refresh_after"` // 建議客戶端重新整理token的絕對時間
}

type GetUserRequest struct { 
  UserId string `json:"userId"`
}

type GetUserResponse struct {
  Name string `json:"name"`
}

service jwt-api {
  @server(
    handler: JwtHandler
  )
  post /user/token(JwtTokenRequest) returns (JwtTokenResponse)
}

@server(
  jwt: JwtAuth
)
service jwt-api {
  @server(
    handler: GetUserHandler
  )
  post /user/info(GetUserRequest) returns (GetUserResponse)
}

在服務 jwt 目錄中執行：goctl api go -api jwt.api -dir . 開啟 jwtlogic.go 檔案，修改 func (l *JwtLogic) Jwt(req types.JwtTokenRequest) (*types.JwtTokenResponse, error) { 方法如下：

func (l *JwtLogic) Jwt(req types.JwtTokenRequest) (*types.JwtTokenResponse, error) {
    var accessExpire = l.svcCtx.Config.JwtAuth.AccessExpire

    now := time.Now().Unix()
    accessToken, err := l.GenToken(now, l.svcCtx.Config.JwtAuth.AccessSecret, nil, accessExpire)
    if err != nil {
        return nil, err
    }

    return &types.JwtTokenResponse{
    AccessToken:  accessToken,
    AccessExpire: now + accessExpire,
    RefreshAfter: now + accessExpire/2,
  }, nil
}

func (l *JwtLogic) GenToken(iat int64, secretKey string, payloads map[string]interface{}, seconds int64) (string, error) {
    claims := make(jwt.MapClaims)
    claims["exp"] = iat + seconds
    claims["iat"] = iat
    for k, v := range payloads {
        claims[k] = v
    }

    token := jwt.New(jwt.SigningMethodHS256)
    token.Claims = claims

    return token.SignedString([]byte(secretKey))
}

在啟動服務之前，我們需要修改 etc/jwt-api.yaml 檔案如下：

Name: jwt-api
Host: 0.0.0.0
Port: 8888
JwtAuth:
  AccessSecret: xxxxxxxxxxxxxxxxxxxxxxxxxxxxx
  AccessExpire: 604800

啟動伺服器，然後測試下獲取到的 token。

➜ curl --location --request POST '127.0.0.1:8888/user/token'
{"access_token":"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE2MDEyNjE0MjksImlhdCI6MTYwMDY1NjYyOX0.6u_hpE_4m5gcI90taJLZtvfekwUmjrbNJ-5saaDGeQc","access_expire":1601261429,"refresh_after":1600959029}

2. 伺服器驗證 JWT token

1. 在 api 檔案中通過jwt: JwtAuth標記的 service 表示啟用了 jwt 認證。
2. 可以閱讀 rest/handler/authhandler.go 檔案瞭解伺服器 jwt 實現。
3. 修改 getuserlogic.go 如下：

func (l *GetUserLogic) GetUser(req types.GetUserRequest) (*types.GetUserResponse, error) {
    return &types.GetUserResponse{Name: "kim"}, nil
}

• 我們先不帶 JWT Authorization header 請求頭測試下，返回 http status code 是 401，符合預期。

➜ curl -w  "\nhttp: %{http_code} \n" --location --request POST '127.0.0.1:8888/user/info' \
--header 'Content-Type: application/json' \
--data-raw '{
    "userId": "a"
}'

http: 401

• 加上 Authorization header 請求頭測試。

➜ curl -w  "\nhttp: %{http_code} \n" --location --request POST '127.0.0.1:8888/user/info' \
--header 'Authorization: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE2MDEyNjE0MjksImlhdCI6MTYwMDY1NjYyOX0.6u_hpE_4m5gcI90taJLZtvfekwUmjrbNJ-5saaDGeQc' \
--header 'Content-Type: application/json' \
--data-raw '{
    "userId": "a"
}'
{"name":"kim"}
http: 200

基於 go-zero 的 JWT 認證完成，在真實生產環境部署時候，AccessSecret, AccessExpire, RefreshAfter 根據業務場景通過配置檔案配置，RefreshAfter 是告訴客戶端什麼時候該重新整理 JWT token 了，一般都需要設定過期時間前幾天。

8. 專案地址

https://github.com/tal-tech/go-zero

9. 微信交流群