Go + gRPC-Gateway(V2) 构建微服务实战系列，小程序登录鉴权服务(三)：RSA(RS512) 签名 JWT-阿里云开发者社区

Go + gRPC-Gateway(V2) 构建微服务实战系列，小程序登录鉴权服务(三)：RSA(RS512) 签名 JWT

2022-06-11 1037

版权

本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。

本文涉及的产品

云原生网关 MSE Higress，422元/月

任务调度 XXL-JOB 版免费试用，400 元额度，开发版规格

注册配置 MSE Nacos/ZooKeeper，182元/月

简介： Go + gRPC-Gateway(V2) 构建微服务实战系列，小程序登录鉴权服务(三)：RSA(RS512) 签名 JWT

JWT & RS512

JWT 与 RSA 详解，这里就不科普了。Google 一下，太多文章介绍了。

我们进入官网：https://jwt.io/

微信图片_20220611160124.png

我们这里看图说话，注意 Decoded 部分：

HEADER:ALGORITHM & TOKEN TYPE
PAYLOAD:DATA
VERIFY SIGNATURE

没错，JWT 就这三部分组成 HEADER.PAYLOAD.SIGNATURE（头部.负载.签名），我们这里选择非对称加密算法（RS512）。

简单来说（编码时），鉴权微服务使用 Private Key 用来生成签名，其它微服务使用 Public Key 验证签名是不是 Auth 微服务签发的（过期、数据有无篡改等）。Private Key & Public Key 是成对出现的。

这里编码测试直接用 jwt.io 官网提供的，我们复制出来就好。

微信图片_20220611160140.png

RSA PRIVATE KEY

我们将其放在 microsvcs/auth/private.key

PUBLIC KEY

我们将其放在 microsvcs/auth/public.key

Payload

这里我们要用的测试 Data 如下：

{
  "exp": 1516246222,
  "iat": 1516239022,
  "iss": "server/auth",
  "sub": "607266aa512e006d58b79d22"
}

iss：表示谁签发，这里就是我们的这个鉴权微服务。
iat：token 签发时间
exp：token 过期时间
sub：谁被签发，这里就是我们的账号 ID

编码实战

定义 TokenGenerator 接口 & 使用

我们进入到 microsvcs/auth/auth/auth.go，延续我们之前的逻辑，因为生成 Token 是个独立的实现，所以按套路我们定义一个 TokenGenerator 接口。

type TokenGenerator interface {
  GenerateToken(accountID string, expire time.Duration) (string, error)
}

使用者定义接口！使用者定义接口！使用者定义接口！重要事说三遍！！！

改造 type Service struct 如下：

type Service struct {
  Mongo          *dao.Mongo
  Logger         *zap.Logger
  OpenIDResolver OpenIDResolver
  TokenGenerator TokenGenerator // 生成器
  TokenExpire    time.Duration  // 过期时间
  authpb.UnimplementedAuthServiceServer
}

我们让 TokenGenerator & TokenExpire 从外面传进来，通通可配，随时替换相关实现。

用的时候就非常简单了：

...
...
tkn, err := s.TokenGenerator.GenerateToken(accountID, s.TokenExpire)
if err != nil {
  s.Logger.Error("cannot generate token", zap.Error(err))
  return nil, status.Error(codes.Internal, "")
}
return &authpb.LoginResponse{
  AccessToken: tkn,
  ExpiresIn:   int32(s.TokenExpire.Seconds()),
}, nil

实现 TokenGenerator 接口

我们编写如下代码（文件位于microsvcs/auth/token/jwt.go）：

type JWTTokenGen struct {
  privateKey *rsa.PrivateKey
  issuer     string
  nowFunc    func() time.Time
}
func NewJWTTokenGen(issuer string, privateKey *rsa.PrivateKey) *JWTTokenGen {
  return &JWTTokenGen{
    issuer:     issuer,
    nowFunc:    time.Now,
    privateKey: privateKey,
  }
}
func (t *JWTTokenGen) GenerateToken(accountID string, expire time.Duration) (string, error) {
  nowSec := t.nowFunc().Unix()
  token := jwt.NewWithClaims(jwt.SigningMethodRS512, jwt.StandardClaims{
    Issuer:    t.issuer, // 签发者
    IssuedAt:  nowSec, // 签发时间
    ExpiresAt: nowSec + int64(expire.Seconds()), // 过期时间
    Subject:   accountID, // 签发给谁
  })
  return token.SignedString(t.privateKey)
}

写代码的套路都是一样的：

定义一个 struct(JWTTokenGen)
外部可初始化该 struct(NewJWTTokenGen)，让一些公共私密的资源可配置化（如：rsa.PrivateKey）
TokenGenerator 接口的具体实现(GenerateToken)

注意：这里定义 nowFunc，方便 Unit Tests 固定某一个时间点去做签发工作。

编写测试

具体代码位于 microsvcs/auth/token/jwt_test.go：

func TestGenerateToken(t *testing.T) {
  pkFile, err := os.Open("../private.key")
  if err != nil {
    logger.Fatal("cannot open private key", zap.Error(err))
  }
  pkBytes, err := ioutil.ReadAll(pkFile)
  if err != nil {
    logger.Fatal("cannot read private key", zap.Error(err))
  }
  key, err := jwt.ParseRSAPrivateKeyFromPEM(pkBytes)
  if err != nil {
    logger.Fatal("cannot parse private key", zap.Error(err))
  }
  g := NewJWTTokenGen("server/auth", key)
  g.nowFunc = func() time.Time {
    return time.Unix(1516239022, 0)
  }
  tkn, err := g.GenerateToken("607266aa512e006d58b79d22", 2*time.Hour)
  if err != nil {
    t.Errorf("cannot generate token: %v", err)
  }
  want := "eyJhbGciOiJSUzUxMiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE1MTYyNDYyMjIsImlhdCI6MTUxNjIzOTAyMiwiaXNzIjoic2VydmVyL2F1dGgiLCJzdWIiOiI2MDcyNjZhYTUxMmUwMDZkNThiNzlkMjIifQ.nwhaGZ0dozftexVfr9KM9ZVAzsPudhLs-n-yyrrjkbFTYA69rsEd35M0vc1gJ1DNMJk_v-1yUhkgRpxzP2Jiy1Lw8fqIlAk8l9EpDE77oJ9Dal6Rl26GERYZOkCvbq02fKSVj4drlSr75fIce9EnQq2xIVyvvNNty-QvHXTX29QQv-6c8vVYIrCFxtooARN9p8OSpg0hzc-YzsXo64lbUvbLIws27TJNwhctbqrOYQuX9XU3UhJ4Ik0Yt2cLc4LjuqI52Grvf89mJMmM5jnHQv0tKI2guvxNwlC3WN50dCIcuo1zjO-_eSje5OvqP7FKR1eSwnEcZiZQ8qwDDGi8pA"
  if tkn != want {
    t.Errorf("wrong token generated. want: %q, got: %q", want, tkn)
  }
}

联调

更新 microsvcs/auth/main.go

我们增加 TokenExpire 与 TokenGenerator 的相关配置。

authpb.RegisterAuthServiceServer(s, &auth.Service{
    OpenIDResolver: &wechat.Service{
      AppID:     "your-app-id",
      AppSecret: "your-app-secret",
    },
    Mongo:          dao.NewMongo(mongoClient.Database("grpc-gateway-auth")),
    Logger:         logger,
    TokenExpire:    2 * time.Hour,
    TokenGenerator: token.NewJWTTokenGen("server/auth", privKey),
})

小程序联调

微信图片_20220611160229.png

完美签发 Token。

大家持续关注，未完待续……