Golang RPC安全需结合Header传Token、JWT认证、方法级授权和TLS加密。服务端应校验Header中的Authorization字段，解析JWT验证签名与过期时间，方法内检查用户角色权限，并通过tls.Dial启用HTTPS加密通信。

在使用 Golang 实现 RPC 服务时，确保通信的安全性至关重要。认证与授权机制能有效防止未授权访问，保护服务资源。Golang 标准库中的 net/rpc 没有内置安全机制，需要开发者自行实现。以下是实现 RPC 认证与授权的实用方法。

1. 使用 HTTP Header 传递认证信息

RPC 通常基于 HTTP 协议传输，可以在请求头中携带认证凭证，如 Token 或 API Key。

说明： 在服务端注册 RPC 服务时，可以包装 http.ServeHTTP 方法，提取 Header 中的认证字段。

- 客户端在调用 RPC 前，设置自定义 Header，例如：Authorization: Bearer <token></token> - 服务端通过中间层读取请求 Header，验证 Token 合法性 - 验证失败则中断连接，不进入实际方法调用

2. 实现基于 Token 的认证逻辑

使用 JWT（JSON Web Token）是一种常见方案，可无状态地验证用户身份。

立即学习“go语言免费学习笔记（深入）”；

- 客户端登录后获取 JWT Token - 每次 RPC 请求将 Token 放入 HTTP Header - 服务端收到请求后解析并校验签名、过期时间等 - 提取用户信息用于后续授权判断

示例代码片段（服务端）：

Self-hosted Crypto Payment

在 Next.js + Supabase 应用中集成自托管加密支付结账，支持 ETH、BTC、SOL、USDC、USDT 及 9 条链的25+ 币种，无需支付处理机构。

下载

func (s *AuthService) ServeHTTP(w http.ResponseWriter, r *http.Request) {
    tokenStr := r.Header.Get("Authorization")
    if !isValidToken(tokenStr) {
        http.Error(w, "Unauthorized", http.StatusUnauthorized)
        return
    }
    // 转发给 RPC 处理器
    s.rpcServer.ServeHTTP(w, r)
}

3. 方法级别的访问控制（授权）

认证通过后，还需根据用户角色决定能否调用特定方法。

建议： 在 RPC 结构体的方法中加入权限检查逻辑。

- 为每个可导出方法定义所需角色或权限等级 - 在方法执行前检查当前用户是否具备相应权限 - 可结合上下文（Context）传递用户身份信息 - 权限数据可来自 JWT payload 或数据库查询

例如：

func (t *Arith) Multiply(args *Args, reply *Reply) error {
    user := args.User // 由客户端传入，服务端应仅信任认证后的信息
    if !hasPermission(user.Role, "arith.multiply") {
        return fmt.Errorf("permission denied")
    }
    reply.Value = args.A * args.B
    return nil
}

4. 使用 TLS 加密通信链路

除了认证授权，数据传输也需加密，防止窃听和中间人攻击。

- 使用 crypto/tls 启动 HTTPS 版本的 RPC 服务 - 客户端通过 tls.Dial 连接服务端 - 配置有效的证书以确保连接可信 - 避免使用自签名证书于生产环境，或需额外校验

启用 TLS 后，所有 RPC 调用都在加密通道中进行，提升整体安全性。

基本上就这些。通过 Header 传 Token、JWT 认证、权限校验和 TLS 加密，可以构建一个相对安全的 Golang RPC 系统。虽然 net/rpc 本身简单，但配合外围设计仍能满足基本安全需求。不复杂但容易忽略的是：永远不要信任客户端传来的用户信息，必须依赖服务端认证结果。