一。token、cookie、session的区别
1。cookie
Cookie总是保存在客户端中，按在客户端中的存储位置，可分为内存Cookie和硬盘Cookie。 内存Cookie由浏览器维护，保存在内存中，浏览器关闭后就消失了，其存在时间是短暂的。 硬盘Cookie保存在硬盘里，有一个过期时间，除非用户手工清理或到了过期时间，硬盘Cookie不会被删除，其存在时间是长期的。 所以，按存在时间，可分为非持久Cookie和持久Cookie。 cookie 是一个非常具体的东西，指的就是浏览器里面能永久存储的一种数据，仅仅是浏览器实现的一种数据存储功能。 cookie由服务器生成，发送给浏览器，浏览器把cookie以key-value形式保存到某个目录下的文本文件内，下一次请求同一网站时会把该cookie发送给服务器。 由于cookie是存在客户端上的，所以浏览器加入了一些限制确保cookie不会被恶意使用，同时不会占据太多磁盘空间，所以每个域的cookie数量是有限的。
2。session
session 从字面上讲，就是会话。这个就类似于你和一个人交谈，你怎么知道当前和你交谈的是张三而不是李四呢？对方肯定有某种特征（长相等）表明他就是张三。 session 也是类似的道理，服务器要知道当前发请求给自己的是谁。为了做这种区分，服务器就要给每个客户端分配不同的“身份标识”， 然后客户端每次向服务器发请求的时候，都带上这个“身份标识”，服务器就知道这个请求来自于谁了。至于客户端怎么保存这个“身份标识”， 可以有很多种方式，对于浏览器客户端，大家都默认采用 cookie 的方式。 服务器使用session把用户的信息临时保存在了服务器上，用户离开网站后session会被销毁。这种用户信息存储方式相对cookie来说更安全， 可是session有一个缺陷：如果web服务器做了负载均衡，那么下一个操作请求到了另一台服务器的时候session会丢失。
3。token
token的意思是“令牌”，是用户身份的验证方式. 最简单的token组成: 【1】uid(用户唯一的身份标识)
【2】time(当前时间的时间戳)
【3】sign(签名，由token的前几位+盐以哈希算法压缩成一定长的十六进制字符串，
可以防止恶意第三方拼接token请求服务器)。还可以把不变的参数也放进token，避免多次查库 这里的token是指SON Web Token
用户注册之后, 服务器生成一个 JWT token返回给浏览器, 浏览器向服务器请求数据时将 JWT token 发给服务器,
服务器用 signature 中定义的方式解码
WT 获取用户信息.
一个 JWT token包含3部分:
【1】header: 告诉我们使用的算法和 token 类型
【2】Payload: 必须使用 sub key 来指定用户 ID, 还可以包括其他信息比如 email, username 等.
【3】Signature: 用来保证 JWT 的真实性. 可以使用不同算法
二。jwt（json web token）权限验证
完整代码：
package main import (
"log"
"net/http"
"github.com/codegangsta/negroni"
"encoding/json"
"fmt"
"strings"
"github.com/dgrijalva/jwt-go"
"time"
"github.com/dgrijalva/jwt-go/request"
) /**
说明：
客户端通过在request对象header里添加token参数，发送到服务端。
服务端再拿出token进行比对。
token的第一次产生是发生在login检查账户存在并且正确之后，为该用户赋予一块令牌（加密字符串）
并将token放入response的header里。客户端登陆成功后，从response里取出token。并在以后操作request请求。
都保持在header里添加该段令牌，令牌有效期失效后，只有重新login，才能获取新的令牌。
*/
const (
//SecretKey = "welcome to wangshubo's blog"
SecretKey = "I have login"
) func fatal(err error) {
if err != nil {
log.Fatal(err)
}
} type UserCredentials struct {
Username string `json:"username"`
Password string `json:"password"`
} type User struct {
ID int `json:"id"`
Name string `json:"name"`
Username string `json:"username"`
Password string `json:"password"`
} type Response struct {
Data string `json:"data"`
} type Token struct {
Token string `json:"token"`
} func StartServer() { http.HandleFunc("/login", LoginHandler) http.Handle("/resource", negroni.New(
negroni.HandlerFunc(ValidateTokenMiddleware),
negroni.Wrap(http.HandlerFunc(ProtectedHandler)),
)) log.Println("Now listening...")
http.ListenAndServe(":8080", nil)
} func main() {
StartServer()
} func ProtectedHandler(w http.ResponseWriter, r *http.Request) { response := Response{"Gained access to protected resource !"}
JsonResponse(response, w) } //服务端生成token，并放入到response的header
/**
JWT由三部份组成：
* Header:头部 （对应：Header）
* Claims:声明 (对应：Payload)
* Signature:签名 (对应：Signature)
*/
func LoginHandler(w http.ResponseWriter, r *http.Request) { var u *User=new(User) var user UserCredentials err := json.NewDecoder(r.Body).Decode(&user) if err != nil {
w.WriteHeader(http.StatusForbidden)
fmt.Fprint(w, "Error in request")
return
} //验证是身份：若用户是someone，则生成token
if strings.ToLower(user.Username) != "someone" {
if user.Password != "p@ssword" {
w.WriteHeader(http.StatusForbidden)
fmt.Println("Error logging in")
fmt.Fprint(w, "Invalid credentials")
return
}
} //1。生成token
token := jwt.New(jwt.SigningMethodHS256)
claims := make(jwt.MapClaims)
//2。添加令牌关键信息
//添加令牌期限
claims["exp"] = time.Now().Add(time.Hour * time.Duration()).Unix()
claims["iat"] = time.Now().Unix()
claims["id"]=u.ID
claims["userName"]=u.Username
claims["password"]=u.Password
token.Claims = claims fmt.Println(claims) if err != nil {
w.WriteHeader(http.StatusInternalServerError)
fmt.Fprintln(w, "Error extracting the key")
fatal(err)
} //获取令牌
tokenString, err := token.SignedString([]byte(SecretKey))
if err != nil {
w.WriteHeader(http.StatusInternalServerError)
fmt.Fprintln(w, "Error while signing the token")
fatal(err)
} //2。将生成的token放入到header
response := Token{tokenString}
JsonResponse(response, w) } //验证Token
func ValidateTokenMiddleware(w http.ResponseWriter, r *http.Request, next http.HandlerFunc) {
token, err := request.ParseFromRequest(r, request.AuthorizationHeaderExtractor,
func(token *jwt.Token) (interface{}, error) {
return []byte(SecretKey), nil
}) if err == nil {
if token.Valid {
next(w, r)
} else {
w.WriteHeader(http.StatusUnauthorized)
fmt.Fprint(w, "Token is not valid")
}
} else {
w.WriteHeader(http.StatusUnauthorized)
fmt.Fprint(w, "Unauthorized access to this resource")
} } func JsonResponse(response interface{}, w http.ResponseWriter) {
json, err := json.Marshal(response)
if err != nil {
http.Error(w, err.Error(), http.StatusInternalServerError)
return
}
w.WriteHeader(http.StatusOK)
w.Header().Set("Content-Type", "application/json")
w.Write(json)
}
通过postman进行验证：
Step1：发送登录请求
Step2:使用服务端返回客户端的token去验证有效性(根据获得的token进行get请求)
参考博客：https://blog.csdn.net/wangshubo1989/article/details/74529333