使用JWT实现身份验证，通过中间件校验Token有效性，结合参数校验与CORS处理，保障Go语言REST API的安全性与可用性。
在Go语言中构建REST API时，请求验证是保障服务安全和数据完整的关键环节。常见的验证包括身份认证（如JWT）、参数校验、权限控制等。下面通过一个简单示例展示如何在Golang中实现基础的REST API请求验证。
使用JWT进行身份验证
JSON Web Token（JWT）是一种广泛使用的无状态认证机制。用户登录后获取Token，后续请求携带该Token进行身份识别。
1. 安装jwt包：
go get github.com/golang-jwt/jwt/v52. 生成Token示例：
立即学习“go语言免费学习笔记（深入）”；
func generateToken(userID string) (string, error) { claims := jwt.MapClaims{ "user_id": userID, "exp": time.Now().Add(time.Hour * 24).Unix(), } token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims) return token.SignedString([]byte("your-secret-key")) }3. 验证中间件：
func authMiddleware(next http.HandlerFunc) http.HandlerFunc { return func(w http.ResponseWriter, r *http.Request) { tokenString := r.Header.Get("Authorization") if tokenString == "" { http.Error(w, "Authorization header required", http.StatusUnauthorized) return } // 去除Bearer前缀
tokenString = strings.TrimPrefix(tokenString, "Bearer ")
token, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
return []byte("your-secret-key"), nil
})
if err != nil || !token.Valid {
http.Error(w, "Invalid or expired token", http.StatusUnauthorized)
return
}
next(w, r)
}}
路由与受保护接口示例
结合net/http或第三方框架（如Gin），注册带验证的路由。
func main() { http.HandleFunc("/login", func(w http.ResponseWriter, r *http.Request) { // 模拟登录成功 token, _ := generateToken("12345") fmt.Fprintf(w, `{"token": "%s"}`, token) })http.HandleFunc("/api/profile", authMiddleware(func(w http.ResponseWriter, r *http.Request) {
w.Header().Set("Content-Type", "application/json")
fmt.Fprintf(w, `{"message": "Access granted", "user": "12345"}`)
}))
http.ListenAndServe(":8080", nil)}
访问 /login 获取Token，再用该Token请求 /api/profile 才能成功。
请求参数校验
除了身份验证，还需对请求体中的数据做格式校验，防止非法输入。
type UserRequest struct { Name string `json:"name"` Email string `json:"email"` }func createUser(w http.ResponseWriter, r *http.Request) { var req UserRequest if err := json.NewDecoder(r.Body).Decode(&req); err != nil { http.Error(w, "Invalid JSON", http.StatusBadRequest) return }
if req.Name == "" || req.Email == "" {
http.Error(w, "Name and email are required", http.StatusBadRequest)
return
}
// 处理业务逻辑...
w.WriteHeader(http.StatusCreated)
json.NewEncoder(w).Encode(map[string]string{"status": "success"})}
CORS与预检请求处理
前端调用API时常遇到跨域问题，需设置CORS响应头并正确处理OPTIONS请求。
func corsMiddleware(next http.HandlerFunc) http.HandlerFunc { return func(w http.ResponseWriter, r *http.Request) { w.Header().Set("Access-Control-Allow-Origin", "*") w.Header().Set("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS") w.Header().Set("Access-Control-Allow-Headers", "Content-Type, Authorization") if r.Method == "OPTIONS" {
w.WriteHeader(http.StatusOK)
return
}
next(w, r)
}}
将此中间件包裹在其他处理函数外即可支持跨域请求。
基本上就这些。通过组合JWT认证、参数校验和中间件机制，可以构建出安全可靠的REST API。实际项目中可进一步集成OAuth2、RBAC权限模型或使用Gin、Echo等框架简化开发。不复杂但容易忽略细节，比如密钥管理、Token刷新、错误提示粒度等。
