1. 课程导论：为什么需要JWT鉴权、JWT与Session/Cookie对比、课程目标与前置知识
1.1 为什么需要JWT鉴权
在构建现代Go Web接口时，无状态、可扩展的身份验证机制是核心需求。传统的服务端Session方案在单体应用中表现良好，但在微服务、前后端分离、移动端接入等场景下，暴露出明显的局限性：
- Session粘性：用户Session存储在特定服务器内存中，负载均衡时需引入共享Session存储（如Redis），增加架构复杂度。
- 跨域问题：Cookie在跨域请求中默认不被携带，需要额外配置CORS和withCredentials，安全风险上升。
- 扩展性瓶颈：每个请求都需要查询Session存储，高并发下成为性能瓶颈。
- 移动端/第三方客户端不友好：原生App、小程序等环境对Cookie支持不统一，Token方式更通用。
JWT（JSON Web Token）通过将用户身份信息编码为自包含的Token，由客户端持有，服务端只需验证签名即可完成鉴权，无需查询数据库或缓存。这种无状态设计天然适合分布式架构和跨域场景。
核心优势：JWT使Go Web接口可以水平扩展，任意节点都能独立验证Token，无需共享Session存储。
1.2 JWT与Session/Cookie对比
下表从多个关键维度对比三种常见鉴权方案，帮助理解JWT的适用场景与取舍：
| 对比维度 | Session/Cookie | JWT Token |
|---|---|---|
| 存储位置 | Session在服务端内存/Redis，Cookie在客户端 | Token完全存储在客户端（LocalStorage/内存/Header） |
| 服务端状态 | 有状态，需维护Session存储 | 无状态，服务端只验证签名 |
| 跨域支持 | 需配置CORS + withCredentials，限制较多 | 通过Authorization Header传递，天然支持跨域 |
| 扩展性 | 需共享Session存储（如Redis），扩展成本高 | 任意节点独立验证，水平扩展零成本 |
| 安全性 | 依赖HttpOnly/Secure Cookie，防XSS较好 | 需防范XSS窃取Token，可配合短有效期+刷新机制 |
| 吊销能力 | 服务端直接删除Session，实时生效 | Token过期前无法主动吊销，需配合黑名单或短TTL |
| 移动端/第三方 | Cookie支持不统一，体验差 | Token方式通用，适合App、小程序、第三方API |
选型建议：对于需要即时吊销、对安全要求极高的内部管理系统，Session方案仍可考虑；对于面向互联网的Go Web API、微服务架构、移动端优先的项目，JWT是更优选择。
1.3 JWT鉴权流程概览
下图展示了JWT在Go Web接口中的典型鉴权流程，从客户端登录到后续请求的完整链路：
1.4 JWT的结构与工作原理
一个JWT由三个部分组成，使用Base64URL编码，以点号（.）分隔：
// JWT格式示例
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.
eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.
SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c| 部分 | 内容 | 作用 |
|---|---|---|
| Header | 签名算法（如HS256、RS256）和Token类型 | 声明如何签名和解析 |
| Payload | 声明（Claims）：用户ID、角色、过期时间等 | 携带用户身份和附加信息 |
| Signature | 对Header和Payload的签名结果 | 防止数据被篡改，验证Token真实性 |
安全提醒：Payload仅经过Base64URL编码，并未加密。切勿在JWT中存放密码、密钥等敏感信息。如需加密内容，应使用JWE（JSON Web Encryption）。
1.5 课程目标与前置知识
本课程旨在帮助Go开发者系统掌握JWT鉴权的完整实现，从原理到生产级中间件集成。完成本课程后，你将能够：
- 理解JWT的核心概念、结构、签名算法及安全边界。
- 在Go项目中独立实现JWT的生成、验证、刷新与吊销。
- 编写可复用的JWT中间件，集成到Gin、Echo、Chi等主流Web框架。
- 掌握Token存储策略（Header/Cookie/内存）与XSS/CSRF防护方案。
- 设计基于角色的访问控制（RBAC）与细粒度权限校验。
- 应对Token泄露、重放攻击、时钟偏差等生产环境问题。
前置知识要求：
| 领域 | 具体要求 |
|---|---|
| Go语言基础 | 熟悉Go语法、结构体、接口、错误处理；了解net/http基本用法 |
| Web开发基础 | 理解HTTP请求/响应模型、Header、状态码；了解RESTful API设计 |
| 密码学常识 | 了解哈希函数（SHA-256）、对称/非对称加密的基本概念（非必须，课程会讲解） |
| 开发环境 | Go 1.18+、Postman或curl、任意代码编辑器 |
学习建议：每章都配有可运行的代码示例，建议边学边练。遇到不熟悉的密码学概念时，可先跳过细节，后续章节会逐步深入。