关于go:通过阅读源码解决项目难题GToken替换JWT实现SSO单点登录

明天和大家分享一下应用 GoFrame 的 gtoken 替换 jwt 实现 sso 登录的教训。期间我也踩了一些坑，最终是通过浏览源码解决了我的项目中遇到的问题。

感觉这个经验比拟有意思，整顿一篇文章分享给大家。

jwt 的问题

首先阐明一个 jwt 存在的问题，也就是要替换 jwt 的起因：

1. jwt 无奈在服务端被动退出的问题
2. jwt 无奈作废已颁布的令牌，只能等到令牌过期问题
3. jwt 携带大量用户扩大信息导致升高传输效率问题

jwt 的申请流程图

gtoken 的劣势

gtoken 的申请流程和 jwt 的基本一致。

gtoken 的劣势就是能帮忙咱们解决 jwt 的问题，另外还提供好用的个性，比方：

1. gtoken 反对 单点利用应用内存存储 ，反对集体我的项目 文件存储 ，也反对 企业集群应用 redis 存储，齐全实用于集体和企业生产级应用；
2. 无效的 防止了 jwt 服务端无奈退出问题；
3. 解决 jwt 无奈作废已颁布的令牌，只能等到令牌过期问题；
4. 通过用户扩大信息存储在服务端，无效躲避了 jwt 携带大量用户扩大信息导致升高传输效率问题；
5. 无效防止 jwt 须要客户端实现续签性能，减少客户端复杂度；反对服务端主动续期，客户端不须要关怀续签逻辑；

留神问题

1. 反对服务端缓存主动续期性能，不须要通过 refresh_token 刷新 token，简化了客户端的操作
2. 版本问题千万留神：在 gtoken v1.5.0 全面适配 GoFrame v2.0.0 ; GoFrame v1.X.X 请应用 GfToken v1.4.X 相干版本

TIPS: 上面我的演示 demo 和源码浏览都是基于 v1.4.x 版本的。

前面会更新视频教程，带大家实现最新版 goframe 和 gtoken 的教程，有须要的小伙伴能够关注我一下。

演示 demo

上面的演示 demo 能够复制到本地 main.go 文件中执行，更新依赖的时候千万留神版本。

重点说一下踩的坑，Login 办法会要求咱们返回两个值：

1. 第一个值对应 userKey，后续咱们能够依据 userKey 取得 token
2. 第二个值对应 data，是 interface{}类型，咱们能够在这里定义例如 userid、username 等数据。

先有这个概念即可，为了让大家更好的了解，文章最初会带大家读源码。

入门示例

代码段的要害逻辑，曾经增加了正文。

package main

import (
   "github.com/goflyfox/gtoken/gtoken"
   "github.com/gogf/gf/frame/g"
   "github.com/gogf/gf/net/ghttp"
   "github.com/gogf/gf/os/glog"
)

var TestServerName string

//var TestServerName string = "gtoken"

func main() {glog.Info("########service start...")

   g.Cfg().SetPath("example/sample")
   s := g.Server(TestServerName)
   initRouter(s)

   glog.Info("########service finish.")
   s.Run()}

var gfToken *gtoken.GfToken

/*
对立路由注册
*/
func initRouter(s *ghttp.Server) {
   // 不认证接口
   s.Group("/", func(group *ghttp.RouterGroup) {group.Middleware(CORS)

      // 调试路由
      group.ALL("/hello", func(r *ghttp.Request) {r.Response.WriteJson(gtoken.Succ("hello"))
      })
   })

   // 认证接口
   loginFunc := Login
   // 启动 gtoken
   gfToken := &gtoken.GfToken{
      ServerName:       TestServerName,
      LoginPath:        "/login",
      LoginBeforeFunc:  loginFunc,
      LogoutPath:       "/user/logout",
      AuthExcludePaths: g.SliceStr{"/user/info", "/system/user/info"}, // 不拦挡门路 /user/info,/system/user/info,/system/user,
      MultiLogin:       g.Config().GetBool("gToken.MultiLogin"),
   }
   s.Group("/", func(group *ghttp.RouterGroup) {group.Middleware(CORS)
      gfToken.Middleware(group)

      group.ALL("/system/user", func(r *ghttp.Request) {r.Response.WriteJson(gtoken.Succ("system user"))
      })
      group.ALL("/user/data", func(r *ghttp.Request) {r.Response.WriteJson(gfToken.GetTokenData(r))
      })
      group.ALL("/user/info", func(r *ghttp.Request) {r.Response.WriteJson(gtoken.Succ("user info"))
      })
      group.ALL("/system/user/info", func(r *ghttp.Request) {r.Response.WriteJson(gtoken.Succ("system user info"))
      })
   })

   // 启动 gtoken
   gfAdminToken := &gtoken.GfToken{
      ServerName: TestServerName,
      //Timeout:         10 * 1000,
      LoginPath:        "/login",
      LoginBeforeFunc:  loginFunc,
      LogoutPath:       "/user/logout",
      AuthExcludePaths: g.SliceStr{"/admin/user/info", "/admin/system/user/info"}, // 不拦挡门路 /user/info,/system/user/info,/system/user,
      MultiLogin:       g.Config().GetBool("gToken.MultiLogin"),
   }
   s.Group("/admin", func(group *ghttp.RouterGroup) {group.Middleware(CORS)
      gfAdminToken.Middleware(group)

      group.ALL("/system/user", func(r *ghttp.Request) {r.Response.WriteJson(gtoken.Succ("system user"))
      })
      group.ALL("/user/info", func(r *ghttp.Request) {r.Response.WriteJson(gtoken.Succ("user info"))
      })
      group.ALL("/system/user/info", func(r *ghttp.Request) {r.Response.WriteJson(gtoken.Succ("system user info"))
      })
   })
}

func Login(r *ghttp.Request) (string, interface{}) {username := r.GetString("username")
   passwd := r.GetString("passwd")

   if username == ""|| passwd =="" {r.Response.WriteJson(gtoken.Fail("账号或明码谬误."))
      r.ExitAll()}

   return username, "1"
   /**
   返回的第一个参数对应：userKey
   返回的第二个参数对应：data
   {
       "code": 0,
       "msg": "success",
       "data": {
           "createTime": 1652838582190,
           "data": "1",
           "refreshTime": 1653270582190,
           "userKey": "王中阳",
           "uuid": "ac75676efeb906f9959cf35f779a1d38"
       }
   }
   */
}

// 跨域
func CORS(r *ghttp.Request) {r.Response.CORSDefault()
   r.Middleware.Next()}

运行成果

启动我的项目：

拜访不认证接口：返回胜利

未登录时拜访认证接口：返回谬误提醒

申请登录接口：返回 token

携带 token 再次拜访认证接口：返回胜利

以上就跑通了主体流程，就是这么简略。

剖析源码

上面带大家剖析一下源码，学习一下作者是如何设计的。

刷新 token

首先我认为 gtoken 很好的设计思维是不应用 refresh_token 来刷新 token，而是 服务端被动刷新。

在源码的 getToken 办法中做了更新 refreshTime 和 createTime 的解决。

更新 createTime 为以后工夫，refreshTime 为以后工夫 + 自定义的刷新工夫。

如下图所示，getToken办法在每次执行 validToken 校验 token 的时候都会调用，即每次校验 token 有效性时，如果合乎刷新 token 有效期的条件，就会进行刷新操作 ( 刷新 token 的过期工夫，token 值不变)

这样就实现了无感刷新 token。

GfToken 构造体

咱们再来看一下 GfToken 的构造体，更好的了解一下作者的设计思路：

1. 因为 CacheMode 反对 redis，也就意味着反对集群模式。
2. 咱们在启动 gtoken 的时候，只须要设置登录和登出门路，另外登录和登出都提供了 BeforeFunc 和AfterFunc，让咱们能清晰的界定应用场景。

// GfToken gtoken 构造体
type GfToken struct {
   // GoFrame server name
   ServerName string
   // 缓存模式 1 gcache 2 gredis 默认 1
   CacheMode int8
   // 缓存 key
   CacheKey string
   // 超时工夫 默认 10 天（毫秒）Timeout int
   // 缓存刷新工夫 默认为超时工夫的一半（毫秒）MaxRefresh int
   // Token 分隔符
   TokenDelimiter string
   // Token 加密 key
   EncryptKey []byte
   // 认证失败中文提醒
   AuthFailMsg string
   // 是否反对多端登录，默认 false
   MultiLogin bool
   // 是否是全局认证，兼容历史版本，已废除
   GlobalMiddleware bool
   // 中间件类型 1 GroupMiddleware 2 BindMiddleware  3 GlobalMiddleware
   MiddlewareType uint

   // 登录门路
   LoginPath string
   // 登录验证办法 return userKey 用户标识 如果 userKey 为空，完结执行
   LoginBeforeFunc func(r *ghttp.Request) (string, interface{})
   // 登录返回办法
   LoginAfterFunc func(r *ghttp.Request, respData Resp)
   // 登出地址
   LogoutPath string
   // 登出验证办法 return true 继续执行，否则完结执行
   LogoutBeforeFunc func(r *ghttp.Request) bool
   // 登出返回办法
   LogoutAfterFunc func(r *ghttp.Request, respData Resp)

   // 拦挡地址
   AuthPaths g.SliceStr
   // 拦挡排除地址
   AuthExcludePaths g.SliceStr
   // 认证验证办法 return true 继续执行，否则完结执行
   AuthBeforeFunc func(r *ghttp.Request) bool
   // 认证返回办法
   AuthAfterFunc func(r *ghttp.Request, respData Resp)
}

思考题

我有 N 个子系统如何用 gtoken 实现 sso 登录呢？即实现一个子系统登录，其余各个子系统都主动登录，而无需二次登录呢？

想一想

.

.

.

我想到的解决方案是配合 cookie 实现：各个子系统二级域名不统一，然而主域名统一。

我在登录之后把 token 写入主域名的 cookie 中进行共享，前端网站通过 cookie 取得 token 申请服务接口。

同时在刷新 token 之后，也要刷新 cookie 的有效期，防止 cookie 生效导致获取不到 token。

进一步浏览源码

在通过又一次仔细阅读源码之后，找到了刷新 cookie 有效期的适合场景：AuthAfterFunc，咱们能够重写这个办法，来实现验证通过后的操作：

如果 token 验证无效则刷新 cookie 有效期；如果验证有效则自定义返回信息。（往往咱们本人我的项目中的 code 码和 gtoken 定义的不统一，然而 gtoken 反对十分不便的重写返回值）

总结

咱们我的项目之前是应用 jwt 实现 sso 登录，在刚刚拿到需要要重写时，本人也是一头雾水。

在没有认真浏览 gtoken 源码之前，我曾经设计了 refresh_token 刷新的策略。

在仔细阅读源码之后，发现真香。

这次经验最大的播种是：碰到不好解决的问题时，带着问题去浏览源码是十分高效的形式。

本文参加了思否技术征文，欢送正在浏览的你也退出。