Go语言中通过JWT实现Google服务账户授权指南-Golang-PHP中文网

Go语言中通过JWT实现Google服务账户授权指南

本教程详细介绍了如何在Go语言中利用JSON Web Token (JWT) 实现Google服务账户的授权认证。文章涵盖了从Google API控制台获取服务账户凭证、将P12私钥转换为PEM格式，到使用goauth2库编写Go代码获取访问令牌的完整流程，旨在帮助开发者安全、高效地集成Google服务。

1. Google服务账户与JWT授权概述

google服务账户是一种特殊的google账户，代表着非人类用户，例如您的应用程序或虚拟机。当您的go应用程序需要访问google cloud platform (gcp) 服务或google api时，使用服务账户进行授权是一种安全且推荐的方式。json web token (jwt) 是一种开放标准 (rfc 7519)，它定义了一种紧凑且自包含的方式，用于在各方之间安全地传输信息。在google服务账户授权中，jwt用于证明您的应用程序有权代表服务账户进行操作，从而获取临时的访问令牌（access token）。

2. 前期准备

在编写Go代码之前，您需要完成以下准备工作：

创建Google服务账户并获取凭证：
- 登录Google Cloud Console。
- 导航到“IAM & Admin” -> “Service Accounts”。
- 创建一个新的服务账户，并为它分配所需的角色（即应用程序需要访问的Google API所需的权限）。
- 在服务账户详情页面，点击“Keys”选项卡，然后选择“Add Key” -> “Create new key”。
- 选择“P12”格式，然后点击“Create”。这将下载一个.p12文件，其中包含服务账户的私钥。请妥善保管此文件。
- 记录下服务账户的电子邮件地址（例如：your-service-account@your-project-id.iam.gserviceaccount.com）。
安装Goauth2库：
- 在您的Go项目中使用以下命令安装Goauth2库：
```
go get code.google.com/p/goauth2/oauth
```
  登录后复制
- 请注意，code.google.com/p/goauth2是一个较早的库。在现代Go项目中，通常推荐使用golang.org/x/oauth2及其子包，但为了与原始问题保持一致，本教程将沿用goauth2。
转换P12私钥为PEM格式：

立即学习“go语言免费学习笔记（深入）”；
- Goauth2库的JWT模块在处理私钥时，通常需要PEM（Privacy-Enhanced Mail）格式的RSA私钥，而不是P12格式。您可以使用OpenSSL工具将P12文件转换为PEM格式。
- 打开终端，执行以下命令：
```
openssl pkcs12 -in your-key-file.p12 -nocerts -out key.pem -nodes
```
  登录后复制
  - your-key-file.p12：您从Google Cloud Console下载的P12文件路径。
  - -nocerts：表示不输出证书。
  - -out key.pem：指定输出的PEM格式私钥文件名为key.pem。
  - -nodes：表示不加密输出的私钥（即无密码）。请注意，在生产环境中，加密私钥并安全管理其密码是最佳实践。
- 执行命令后，您可能需要输入P12文件的导入密码（通常是notasecret，如果您在创建时没有设置）。
- 生成的key.pem文件可能包含一些额外的文本（例如Bag Attributes），您需要手动删除这些非RSA密钥部分的文本，只保留-----BEGIN RSA PRIVATE KEY-----和-----END RSA PRIVATE KEY-----之间的内容。

3. Go语言实现JWT授权

以下Go代码示例展示了如何使用服务账户电子邮件、PEM格式的私钥以及所需的API范围（Scope）来获取访问令牌。

package main

import (
    "code.google.com/p/goauth2/oauth/jwt" // 导入JWT包
    "flag"                                // 用于命令行参数解析
    "fmt"                                 // 格式化输出
    "io/ioutil"                           // 文件I/O操作
    "net/http"                            // HTTP客户端
)

var (
    // 定义命令行参数
    serviceEmail = flag.String("service_email", "", "OAuth service email.")
    keyPath      = flag.String("key_path", "key.pem", "Path to unencrypted RSA private key file.")
    scope        = flag.String("scope", "", "Space separated scopes.")
)

// fetchToken 函数负责获取Google服务账户的访问令牌
func fetchToken() (string, error) {
    // 1. 读取PEM格式的私钥文件
    keyBytes, err := ioutil.ReadFile(*keyPath)
    if err != nil {
        return "", fmt.Errorf("无法读取私钥文件 %s: %v", *keyPath, err)
    }

    // 2. 创建JWT令牌实例
    // 参数：服务账户邮箱、API范围、私钥字节
    t := jwt.NewToken(*serviceEmail, *scope, keyBytes)

    // 3. 创建HTTP客户端，用于与Google授权服务器通信
    c := &http.Client{}

    // 4. 断言JWT令牌并获取访问令牌
    // t.Assert(c) 会向Google授权服务器发送请求，用JWT交换Access Token
    o, err := t.Assert(c)
    if err != nil {
        return "", fmt.Errorf("JWT断言失败，无法获取访问令牌: %v", err)
    }

    // 5. 返回获取到的访问令牌
    return o.AccessToken, nil
}

func main() {
    // 解析命令行参数
    flag.Parse()

    // 检查必要参数是否提供
    if *serviceEmail == "" {
        fmt.Println("错误: 必须提供服务账户邮箱 (--service_email)")
        flag.Usage()
        return
    }
    if *scope == "" {
        fmt.Println("错误: 必须提供API范围 (--scope)")
        flag.Usage()
        return
    }

    // 调用fetchToken函数获取访问令牌
    token, err := fetchToken()
    if err != nil {
        fmt.Printf("获取令牌失败: %v\n", err)
    } else {
        fmt.Printf("成功获取访问令牌: %s\n", token)
    }
}

登录后复制

4. 代码详解与运行

导入包:
- code.google.com/p/goauth2/oauth/jwt: 核心包，用于构建和处理JWT。
- flag: 用于方便地从命令行接收服务账户邮箱、私钥路径和API范围。
- fmt, io/ioutil, net/http: 标准库，用于输出、文件操作和HTTP通信。
命令行参数:
- serviceEmail: 您的Google服务账户邮箱地址。
- keyPath: PEM格式私钥文件的路径，默认为key.pem。
- scope: 应用程序需要访问的Google API范围。例如，如果您要访问Google Drive，范围可能是https://www.googleapis.com/auth/drive。多个范围用空格分隔。
fetchToken 函数:

云雀语言模型
云雀是一款由字节跳动研发的语言模型，通过便捷的自然语言交互，能够高效的完成互动对话

54

查看详情
- 首先，它使用ioutil.ReadFile读取keyPath指向的PEM私钥文件内容。
- 接着，jwt.NewToken(*serviceEmail, *scope, keyBytes)创建一个jwt.Token实例。这个实例包含了构建JWT所需的所有信息：谁（服务账户）、想做什么（访问的API范围）、以及用什么证明身份（私钥）。
- http.Client{}被用来作为JWT断言过程中的HTTP客户端。
- t.Assert(c)是核心步骤。它会：
  - 使用服务账户邮箱、API范围和当前时间等信息构建一个JWT。
  - 使用提供的私钥对JWT进行签名。
  - 将签名的JWT作为授权请求的一部分发送到Google的OAuth 2.0授权服务器。
  - 如果验证成功，Google授权服务器将返回一个包含访问令牌的响应。
- 最后，函数返回获取到的访问令牌或错误。
main 函数:
- flag.Parse()解析所有命令行参数。
- 检查serviceEmail和scope是否已提供。
- 调用fetchToken函数，并根据结果打印成功或失败信息。

如何运行:

将上述代码保存为main.go文件。
确保key.pem文件（经过转换和清理的私钥）与main.go文件在同一目录下，或者您可以通过--key_path参数指定其路径。

在终端中执行以下命令，替换your-service-account-email和your-api-scope为实际值：

go run main.go --service_email "your-service-account-email@your-project-id.iam.gserviceaccount.com" --scope "https://www.googleapis.com/auth/drive"

登录后复制

或者，如果您需要多个Scope：

go run main.go --service_email "your-service-account-email@your-project-id.iam.gserviceaccount.com" --scope "https://www.googleapis.com/auth/drive https://www.googleapis.com/auth/spreadsheets"

登录后复制

成功执行后，您将看到打印出的访问令牌。

5. 注意事项与最佳实践

私钥安全: key.pem文件包含您的服务账户私钥，其安全性至关重要。请勿将其提交到版本控制系统（如Git），并确保只有授权的应用程序才能访问它。在生产环境中，应考虑使用更安全的密钥管理服务（如Google Secret Manager）来存储和访问私钥。
API范围（Scope）: 始终只请求应用程序所需的最小权限范围。过大的权限范围会增加安全风险。
错误处理: 示例代码中的错误处理相对简单。在实际应用中，您应该实现更健壮的错误处理机制，包括日志记录、重试逻辑等。
令牌刷新: 访问令牌通常具有有限的生命周期（例如1小时）。goauth2/oauth/jwt库在Assert时会自动处理令牌的获取和刷新。当令牌过期时，再次调用t.Assert(c)将获取一个新的访问令牌。
现代Go OAuth库: 尽管本教程使用了code.google.com/p/goauth2/oauth/jwt，但对于新的Go项目，强烈推荐使用官方维护的golang.org/x/oauth2及其子包，它们提供了更现代、更完善的OAuth 2.0实现，并且与Go生态系统集成更好。