jwt在go语言中可通过jwt-go库实现生成与解析。1. 安装jwt-go包，推荐使用其活跃维护的分叉版本github.com/golang-jwt/jwt；2. 生成token时构造包含用户信息和过期时间的claims并签名，密钥建议从配置或环境变量获取；3. 解析token时验证有效性并提取用户信息，处理过期及刷新逻辑；4. 在http请求头authorization字段携带token，并通过中间件（如gin框架）提取验证；5. 实际应用需注意密钥管理、黑名单机制、token刷新及自定义claims结构提升安全性。
JWT（JSON Web Token）是一种轻量级的身份验证方案，特别适合分布式系统和前后端分离的项目。在Go语言中，使用jwt-go库可以非常方便地实现JWT的生成与解析。下面我们就来看几个关键步骤。
1. 安装 jwt-go 库
要开始使用 JWT 功能，首先需要安装 github.com/dgrijalva/jwt-go 这个包：
go get github.com/dgrijalva/jwt-go
注意：这个库虽然广泛使用，但已经不再活跃维护了。如果你希望用更新的替代品，可以考虑 github.com/golang-jwt/jwt，它是由原作者分叉出来的活跃版本，用法基本一致。
2. 生成 JWT Token
通常我们会在用户登录成功后，根据用户信息生成一个 token 返回给客户端。生成 token 的核心是构造一个 payload（负载），然后签名。
立即学习“go语言免费学习笔记（深入）”；
示例代码如下：
import (
"time"
jwt "github.com/dgrijalva/jwt-go"
)
func generateToken(userID string) (string, error) {
// 设置过期时间
expirationTime := time.Now().Add(24 * time.Hour)
// 构造 Claims（你可以自定义结构）
claims := jwt.MapClaims{
"user_id": userID,
"exp": expirationTime.Unix(),
}
// 使用 HS256 算法和密钥进行签名
token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
secretKey := []byte("your-secret-key") // 建议从配置文件读取或环境变量获取
return token.SignedString(secretKey)
}说明：
-
"exp"是标准字段，表示 token 的过期时间。 -
"user_id"是你自己的业务字段，也可以添加其他如角色、权限等信息。 - 密钥建议不要硬编码，而是通过配置或环境变量传入。
3. 解析并验证 Token
当客户端后续请求携带 token 时，我们需要从中解析出用户信息，并验证其有效性。
示例代码如下：
func parseToken(tokenStr string) (string, bool) {
secretKey := []byte("your-secret-key")
token, err := jwt.Parse(tokenStr, func(token *jwt.Token) (interface{}, error) {
return secretKey, nil
})
if err != nil || !token.Valid {
return "", false
}
// 获取 payload 中的数据
claims, ok := token.Claims.(jwt.MapClaims)
if !ok {
return "", false
}
userID, ok := claims["user_id"].(string)
return userID, ok
}常见问题处理：
- 如果 token 已过期，
token.Valid会返回 false。 - 可以检查
"exp"字段是否大于当前时间戳，做更细粒度控制。 - 如果你想支持刷新机制，可以在中间加一层逻辑判断是否接近过期。
4. 在 HTTP 请求中使用 Token
一般我们会把 token 放在 HTTP 请求头中的 Authorization 字段，格式为：
Authorization: Bearer
在 Go 的 web 框架中（比如 Gin、Echo 或 net/http），我们可以写一个中间件来提取并验证 token。
以 Gin 为例：
func AuthMiddleware() gin.HandlerFunc {
return func(c *gin.Context) {
tokenStr := c.GetHeader("Authorization")
// 去掉 "Bearer " 前缀
if len(tokenStr) > 7 && tokenStr[:7] == "Bearer " {
tokenStr = tokenStr[7:]
}
userID, valid := parseToken(tokenStr)
if !valid {
c.AbortWithStatusJSON(http.StatusUnauthorized, gin.H{"error": "invalid token"})
return
}
// 把用户ID存到上下文，供后续处理函数使用
c.Set("user_id", userID)
c.Next()
}
}这样就可以保护某些接口，确保只有携带合法 token 的请求才能访问。
5. 一些实用建议
- 密钥管理：永远不要把密钥硬编码在代码里，建议使用环境变量或者配置中心。
- token 刷新机制：短期 token + refresh token 的方式更安全，避免频繁让用户重新登录。
- 黑名单机制：对于注销操作，可以记录已签发的 token 并在每次验证时检查是否在黑名单中。
- 自定义 Claims 结构：除了 MapClaims，你也可以定义结构体来组织你的 payload 数据，增强类型安全性。
基本上就这些。JWT 实现不复杂，但在实际应用中需要注意安全性细节，比如签名算法选择、敏感信息避免泄露、合理设置有效期等。只要处理得当，JWT 是一种非常灵活且实用的身份验证方式。
