17370845950

Go用户注册登录需验证输入、bcrypt加密密码、参数化存储、JWT或Redis会话；校验邮箱、密码强度、用户名；禁用明文存储和SQL拼接；设HttpOnly/Secure Cookie。

在 Go 中实现用户注册登录功能，核心是验证输入安全、加密密码、安全存储、会话管理。不依赖框架也能做得可靠，关键是选对标准库和第三方包，并遵循最小权限和防御性编程原则。

验证注册输入：防止空值、格式错误和恶意内容

前端校验不可信，后端必须重新验证。重点检查邮箱格式、密码强度、用户名长度等。

• 用 net/mail.ParseAddress 或正则（如 ^[a-zA-Z0-9._%+-]+@[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$）校验邮箱有效性
• 密码至少 8 位，含大小写字母+数字（可用 regexp 检查，例如 ^(?=.*[a-z])(?=.*[A-Z])(?=.*\d).{8,}$）
• 用户名限制为字母、数字、下划线，长度 3–20 字符；拒绝保留字（如 admin、root）
• 所有字段 trim 空格，避免前后空格绕过校验

密码安全处理：永远不存明文，用 bcrypt 加盐哈希

Go 标准库不提供密码哈希，推荐使用 golang.org/x/crypto/bcrypt —— 它自动加盐、抗彩虹表、可调计算强度。

• 注册时：用 bcrypt.GenerateFromPassword([]byte(password), bcrypt.DefaultCost) 生成哈希字符串（如 $2a$10$...）
• 登录时：用 bcrypt.CompareHashAndPassword(hash, []byte(inputPassword)) 校验，不自己解析哈希
• 不要用 MD5、SHA 等快速哈希；DefaultCost 默认是 10，生产环境可设为 12–14（权衡安全与性能）

用户信息存储：结构化设计 + 防 SQL 注入

无论用 SQLite、PostgreSQL 还是 MySQL，都应使用参数化查询或 ORM（如 sqlx 或 gorm），禁止拼接 SQL。

• 数据库表至少包含：id（主键）、username（唯一索引）、email（唯一索引）、password_hash（TEXT）、created_at
• 插入前检查用户名/邮箱是否已存在（两次查询或用 INSERT ... ON CONFLICT 做原子判断）
• 敏感字段如密码重置令牌、MFA 密钥需额外加密（如用 golang.org/x/crypto/chacha20poly1305）

登录状态管理：基于 HTTP 的无状态会话控制

避免用内存存 session（不支持多实例），推荐 JWT 或服务端 session 存 Redis。

• JWT 方式：登录成功后签发短期 token（如 1 小时），payload 含 user_id 和 exp；用 github.com/golang-jwt/jwt/v5 签名，密钥存环境变量
• 服务端 session：生成随机 session ID（crypto/rand.Read），存用户 ID 和过期时间到 Redis；每次请求校验 ID 并刷新 TTL
• 始终设置 HttpOnly、Secure、SameSite=Strict Cookie 属性，防止 XSS 和 CSRF

不复杂但容易忽略：注册后发验证邮件、登录失败次数限制、密码找回流程、日志记录失败尝试。这些不是锦上添花，而是安全底线。