17370845950

Session管理登录状态需用gorilla/sessions配合安全Cookie属性；JWT无状态认证适合分布式场景，推荐golang-jwt/jwt/v5；RBAC模型通过数据库关系与中间件权限校验实现；安全增强须bcrypt加盐、频率限制、二次验证及服务端权限校验。

用Session管理登录状态

用户登录成功后，需要在服务端保存其身份信息，并通过Cookie关联客户端。Golang标准库net/http配合gorilla/sessions是最常用组合。

关键点：

• 使用安全的随机密钥初始化session store（如securecookie.GenerateRandomKey(32)）
• 设置HttpOnly、Secure（HTTPS环境）、SameSite=Strict等Cookie属性防窃取和CSRF
• 登录成功时写入用户ID、角色、过期时间等必要字段，避免存敏感信息（如密码、token明文）
• 登出时调用session.Options.MaxAge = -1并Save()，清空服务端session

基于JWT实现无状态认证

适合分布式或API场景，服务端不存会话，由客户端携带签名令牌，服务端只校验签名和有效期。

推荐用golang-jwt/jwt/v5库：

• 登录成功后生成token：包含sub（用户ID）、role（角色）、exp（过期时间），用HS256或RS256签名
• 中间件拦截请求，从Authorization: Bearer 中提取并解析，验证签名+未过期+白名单（可选）
• 刷新token建议用双token机制（access + refresh），refresh token存数据库并绑定设备/IP，支持主动吊销

细粒度权限控制：RBAC模型落地

把权限抽象为“角色→权限”、“用户→角色”关系，避免硬编码if-else判断。

实现方式：

• 数据库建表：users、roles、permissions、role_permissions、user_roles
• 中间件中根据当前用户查出所有权限字符串（如"user:read"、"order:write"），放入context.Context
• HTTP handler里用hasPermission(ctx, "admin:delete")统一校验，失败返回403
• 高并发下可缓存用户权限（如Redis哈希结构，key为perm:），设置合理TTL

安全增强要点

认证授权环节极易引入漏洞，需重点关注：

• 密码必须用golang.org/x/crypto/bcrypt加盐哈希，禁止明文或弱哈希（MD5/SHA1）
• 登录接口做频率限制（如每分钟最多5次失败尝试），结合IP+User-Agent识别暴力破解
• 敏感操作（改密、删账号）强制二次验证（短信/邮箱/TOTP）
• 所有权限检查放在服务端，前端按钮显隐只是体验优化，不能替代后端校验
• 定期审计日志：记录登录、登出、权限变更、敏感操作，保留至少90天