Golang微服务鉴权核心是构建安全、可扩展的JWT验证中间件，使用jwt/v5解析Token，从Header或HttpOnly Cookie提取，校验签名与声明后注入context，分层做权限控制，并完善错误处理、日志与调试支持。
用 Golang 实现微服务鉴权，核心是把 JWT 验证逻辑抽成可复用的中间件，在每个需要保护的 HTTP 路由前自动校验 Token。关键不是写一个能跑的 demo，而是让验证过程安全、可扩展、易维护。
JWT 签发与存储要合理
登录成功后生成 JWT，建议使用 github.com/golang-jwt/jwt/v5（v5 版本更安全），选择 HS256 或 RS256 算法。HS256 适合单体或密钥可控的微服务集群；若服务间需独立验签，推荐 RS256 + 公私钥对。
- Token 中只放必要字段：用户 ID、角色、过期时间（
exp）、签发时间（iat） - 避免存敏感信息（如密码、手机号），JWT 是 Base64 编码，不是加密
- 前端建议将 Token 存在
HttpOnly Cookie中（防 XSS），后端设置Secure和SameSite=Strict
编写通用 JWT 验证中间件
中间件接收密钥和可选的权限检查规则，解析并验证 Token，验证失败直接返回 401；成功则把用户信息注入 context.Context，后续 handler 可安全获取。
- 从
Authorization: Bearer <token>头或 Cookie 中提取 Token - 调用
jwt.ParseWithClaims解析，并校验签名、过期、签发者等标准声明 - 验证通过后，用
context.WithValue把userID、role等塞进请求上下文 - 不要在中间件里做数据库查询——JWT 本身应包含足够授权依据；如需查权限表，也应缓存或异步预热
按角色/权限控制路由访问
中间件只负责“身份可信”，权限控制应分层：基础中间件做身份验证，再套一层权限中间件或在 handler 内部判断。
立即学习“go语言免费学习笔记（深入）”；
- 简单场景：在中间件中加 role 白名单，比如
requireRole("admin") - 灵活场景：定义权限字符串（如
"user:read"、"order:write"），Token 中带perms字段，中间件比对 - 微服务间调用时，可用服务级 Token（如用服务名+私钥签发），不依赖用户 Token，避免越权透传
错误处理与日志要清晰可追溯
鉴权失败不能只返回 401，要区分具体原因（过期、签名无效、缺少 token），但生产环境避免泄露细节（如不暴露“密钥不匹配”）。
- 记录警告日志：Token 解析失败、过期、用户不存在等情况，带上 traceID 方便排查
- 对高频失败请求（如 1 分钟内 10 次无效 Token），可临时限流或告警
- 提供 /auth/verify 端点供内部服务调试（仅限内网），返回解码后的 payload（不含敏感字段）
基本上就这些。JWT 鉴权不复杂但容易忽略细节：密钥管理、时钟偏移容忍、Token 刷新机制、注销黑名单（如用 Redis 存短期黑名单）都是上线后必须补上的点。先跑通验证链路，再逐步加固。
