Golang RPC安全需结合Header传Token、JWT认证、方法级授权和TLS加密。服务端应校验Header中的Authorization字段，解析JWT验证签名与过期时间，方法内检查用户角色权限，并通过tls.Dial启用HTTPS加密通信。
在使用 Golang 实现 RPC 服务时，确保通信的安全性至关重要。认证与授权机制能有效防止未授权访问，保护服务资源。Golang 标准库中的 net/rpc 没有内置安全机制，需要开发者自行实现。以下是实现 RPC 认证与授权的实用方法。
1. 使用 HTTP Header 传递认证信息
RPC 通常基于 HTTP 协议传输，可以在请求头中携带认证凭证，如 Token 或 API Key。
说明： 在服务端注册 RPC 服务时，可以包装 http.ServeHTTP 方法，提取 Header 中的认证字段。
Authorization: Bearer
- 服务端通过中间层读取请求 Header，验证 Token 合法性
- 验证失败则中断连接，不进入实际方法调用
2. 实现基于 Token 的认证逻辑
使用 JWT（JSON Web Token）是一种常见方案，可无状态地验证用户身份。
立即学习“go语言免费学习笔记（深入）”；
- 客户端登录后获取 JWT Token - 每次 RPC 请求将 Token 放入 HTTP Header - 服务端收到请求后解析并校验签名、过期时间等 - 提取用户信息用于后续授权判断示例代码片段（服务端）：
func (s *AuthService) ServeHTTP(w http.ResponseWriter, r *http.Request) {
tokenStr := r.Header.Get("Authorization")
if !isValidToken(tokenStr) {
http.Error(w, "Unauthorized", http.StatusUnauthorized)
return
}
// 转发给 RPC 处理器
s.rpcServer.ServeHTTP(w, r)
}
3. 方法级别的访问控制（授权）
认证通过后，还需根据用户角色决定能否调用特定方法。
建议： 在 RPC 结构体的方法中加入权限检查逻辑。
- 为每个可导出方法定义所需角色或权限等级 - 在方法执行前检查当前用户是否具备相应权限 - 可结合上下文（Context）传递用户身份信息 - 权限数据可来自 JWT payload 或数据库查询例如：
func (t *Arith) Multiply(args *Args, reply *Reply) error {
user := args.User // 由客户端传入，服务端应仅信任认证后的信息
if !hasPermission(user.Role, "arith.multiply") {
return fmt.Errorf("permission denied")
}
reply.Value = args.A * args.B
return nil
}
4. 使用 TLS 加密通信链路
除了认证授权，数据传输也需加密，防止窃听和中间人攻击。
- 使用crypto/tls 启动 HTTPS 版本的 RPC 服务
- 客户端通过 tls.Dial 连接服务端
- 配置有效的证书以确保连接可信
- 避免使用自签名证书于生产环境，或需额外校验
启用 TLS 后，所有 RPC 调用都在加密通道中进行，提升整体安全性。
基本上就这些。通过 Header 传 Token、JWT 认证、权限校验和 TLS 加密，可以构建一个相对安全的 Golang RPC 系统。虽然 net/rpc 本身简单，但配合外围设计仍能满足基本安全需求。不复杂但容易忽略的是：永远不要信任客户端传来的用户信息，必须依赖服务端认证结果。
