本文详解如何在 Go 后端正确提取并验证前端通过 Authorization: Bearer 头发送的 JWT，重点解决因未剥离 "Bearer " 前缀导致 token 解析为 nil 的常见问题。
本文详解如何在 go 后端正确提取并验证前端通过 authorization: bearer
在基于 JWT 的身份认证流程中，前端通常将 token 附加在 HTTP 请求头的 Authorization 字段中，格式为 Bearer <token></token>（注意 Bearer 与 token 之间需有空格）。而 Go 的 jwt-go 库（如 github.com/dgrijalva/jwt-go）仅接受原始、未修饰的 JWT 字符串（即 Base64Url 编码的 header.payload.signature 三段式字符串），若直接传入带 Bearer 前缀的完整字符串，jwt.Parse() 将无法识别签名结构，返回 nil token 和解析错误。
因此，关键步骤是：从请求头中提取并清洗 token 字符串。以下是推荐的健壮实现方式：
import (
"strings"
"net/http"
"github.com/dgrijalva/jwt-go"
)
func VerifyToken(r *http.Request) bool {
authHeader := r.Header.Get("Authorization")
if authHeader == "" {
return false // 缺失 Authorization 头
}
// 按空格分割，期望格式为 "Bearer <token>"
parts := strings.Fields(authHeader)
if len(parts) != 2 || parts[0] != "Bearer" {
return false // 格式不合法：非两段，或前缀非 "Bearer"
}
tokenString := parts[1]
// 解析并验证 JWT
token, err := jwt.Parse(tokenString, func(t *jwt.Token) (interface{}, error) {
// 确保使用正确的签名方法（如 HS256）
if _, ok := t.Method.(*jwt.SigningMethodHMAC); !ok {
return nil, jwt.ErrSignatureInvalid
}
return []byte(SecretKey), nil
})
if err == nil && token.Valid {
return true
}
return false
}⚠️ 注意事项：
前端设计优化skill
下载
前端设计与 UI/UX 全方位优化专家。覆盖视觉层次、排版系统、色彩理论、响应式布局、交互体验、动画动效、无障碍访问、性能优化八大维度，帮助开发者将普通页面升级为高品质产品级界面。前端设计与 UI/UX 全方位优化专家。覆盖视觉层次、排版系统、色彩理论、响应式布局、交互体验、动画动效、无障碍访问、性能优化八大维度，帮助开发者将普通页面升级为高品质产品级界面。
-
永远不要用
strings.Split(authHeader, "Bearer ")—— 这种写法脆弱且易出错（例如当 token 本身含Bearer时会误切；且未处理空格变体如bearer或BEARER）； - 推荐使用
strings.Fields()安全分割，它按任意空白字符拆分，并自动过滤空字段； - 必须校验分割后长度和前缀，防止恶意构造的头（如
Authorization: Bearer后无 token）； -
jwt.Parse第二个参数（keyFunc）中应显式校验签名算法，避免算法混淆漏洞（如将none算法误认为有效）； - 生产环境建议升级至更安全、维护活跃的 JWT 库（如
github.com/golang-jwt/jwt/v5），原dgrijalva/jwt-go已归档且存在已知安全限制。
完成验证后，你可在 handler 中调用 VerifyToken(r) 判断用户身份，并据此放行受保护资源。例如：
立即学习“前端免费学习笔记（深入）”；
func securedHandler(w http.ResponseWriter, r *http.Request) {
if !VerifyToken(r) {
http.Error(w, "Unauthorized", http.StatusUnauthorized)
return
}
w.WriteHeader(http.StatusOK)
w.Write([]byte("Access granted to protected resource"))
}至此，你已构建了一个健壮、安全、符合 RFC 6750 规范的 JWT 验证流程。
