Go语言中通过JWT授权Google服务账户的教程

1. 简介与前提条件

在使用go语言与google服务进行交互时，服务账户（service account）提供了一种安全、无需用户参与的认证方式。通过jwt授权，我们可以使用服务账户的私钥直接生成访问令牌，进而调用google api。

在开始之前，请确保您具备以下条件：

• 已安装Go语言开发环境。
• 已拥有一个Google Cloud项目，并在其中创建了服务账户。
• 已从Google Cloud Console下载了服务账户的P12私钥文件。
• 已安装openssl工具，用于处理密钥文件。

2. 获取Go语言依赖库

首先，我们需要获取Go语言中用于OAuth2和JWT认证的库。本教程将使用code.google.com/p/goauth2包，它是Google官方早期提供的OAuth2客户端库。

在终端中执行以下命令：

go get code.google.com/p/goauth2/oauth

3. 准备Google服务账户凭据

3.1 获取服务账户信息

在Google Cloud Console中，导航到“IAM & Admin” -> “Service Accounts”。

立即学习“go语言免费学习笔记（深入）”；

• 服务账户电子邮件地址 (Service Email): 记录下您要使用的服务账户的电子邮件地址，例如your-service-account@your-project-id.iam.gserviceaccount.com。
• P12私钥文件: 在创建服务账户时，您可以选择生成新的密钥并下载P12格式的私钥文件。请妥善保管此文件。

3.2 转换P12私钥为PEM格式

goauth2库在处理私钥时，需要的是PEM格式的未加密RSA私钥。您下载的P12文件是加密的且可能包含证书。我们需要使用openssl将其转换为PEM格式的纯RSA私钥。

假设您的P12文件名为file.p12，执行以下命令：

云雀语言模型

云雀是一款由字节跳动研发的语言模型，通过便捷的自然语言交互，能够高效的完成互动对话

54

查看详情

openssl pkcs12 -in file.p12 -nocerts -out key.pem -nodes

• -in file.p12: 指定输入的P12文件。
• -nocerts: 排除证书，只输出私钥。
• -out key.pem: 指定输出的PEM格式文件名为key.pem。
• -nodes: 不对输出的私钥进行加密。

执行此命令后，openssl可能会要求您输入P12文件的密码（通常是notasecret，如果您在下载时没有指定）。成功后，key.pem文件将包含未加密的RSA私钥。请确保删除key.pem文件中可能存在的额外文本（例如，Bag Attributes或-----BEGIN/END CERTIFICATE-----之间的内容，只保留-----BEGIN RSA PRIVATE KEY-----和-----END RSA PRIVATE KEY-----之间的内容）。

4. 编写Go语言授权代码

现在，我们可以编写Go代码来使用这些凭据生成访问令牌。

package main

import (
    "code.google.com/p/goauth2/oauth/jwt" // 导入JWT包
    "flag"
    "fmt"
    "io/ioutil"
    "net/http" // 使用net/http代替旧的http包
)

var (
    serviceEmail = flag.String("service_email", "", "OAuth service email.")
    keyPath      = flag.String("key_path", "key.pem", "Path to unencrypted RSA private key file.")
    scope        = flag.String("scope", "", "Space separated scopes.")
)

// fetchToken 函数用于获取Google服务的访问令牌
func fetchToken() (string, error) {
    // 1. 读取PEM格式的私钥文件
    keyBytes, err := ioutil.ReadFile(*keyPath)
    if err != nil {
        return "", fmt.Errorf("无法读取私钥文件: %v", err)
    }

    // 2. 创建JWT令牌配置
    // 参数: 服务账户邮箱, 授权范围, 私钥字节
    t := jwt.NewToken(*serviceEmail, *scope, keyBytes)

    // 3. 创建HTTP客户端
    c := &http.Client{}

    // 4. 断言并获取访问令牌
    // t.Assert(c) 会向Google OAuth2服务器发送请求，交换JWT为OAuth2访问令牌
    o, err := t.Assert(c)
    if err != nil {
        return "", fmt.Errorf("无法获取访问令牌: %v", err)
    }

    return o.AccessToken, nil
}

func main() {
    flag.Parse() // 解析命令行参数

    if *serviceEmail == "" || *scope == "" {
        fmt.Println("错误: 必须指定服务账户邮箱和授权范围。")
        flag.PrintDefaults()
        return
    }

    token, err := fetchToken()
    if err != nil {
        fmt.Printf("错误: %v\n", err)
    } else {
        fmt.Printf("成功获取访问令牌: %v\n", token)
    }
}

代码说明：

• import "code.google.com/p/goauth2/oauth/jwt": 导入了核心的JWT处理包。
• flag 包: 用于从命令行接收服务账户邮箱、私钥路径和授权范围。
• *`ioutil.ReadFile(keyPath)`**: 读取PEM格式的私钥文件内容。
• jwt.NewToken(*serviceEmail, *scope, keyBytes): 创建一个jwt.Token实例。
  • *serviceEmail: 您的服务账户邮箱。
  • *scope: 授权范围，是一个空格分隔的字符串，指定了您的应用程序需要访问的Google API权限。例如，如果您需要访问Google Cloud Storage，范围可能是https://www.googleapis.com/auth/devstorage.full_control。请查阅相关Google API文档以获取正确的范围。
  • keyBytes: 读取到的PEM格式私钥的字节数组。
• t.Assert(c): 这是核心步骤。它构建一个JWT，用私钥签名，然后将其发送到Google OAuth2服务器交换一个OAuth2访问令牌。
• o.AccessToken: 成功后，o（类型为oauth.Token）将包含获取到的访问令牌。

5. 运行示例

将上述代码保存为main.go。在命令行中，使用以下方式运行：

go run main.go --service_email="your-service-account@your-project-id.iam.gserviceaccount.com" --key_path="key.pem" --scope="https://www.googleapis.com/auth/cloud-platform"

请将your-service-account@your-project-id.iam.gserviceaccount.com替换为您的服务账户邮箱，key.pem替换为您的私钥文件路径，并根据您的需求修改--scope参数。

如果一切顺利，您将看到控制台输出一个长字符串，即为成功获取的访问令牌。

6. 注意事项

• 私钥安全: key.pem文件包含您的服务账户私钥，必须严格保密。不要将其上传到公共代码仓库或以不安全的方式传输。在生产环境中，考虑使用更安全的密钥管理方案。
• 授权范围 (Scope): 选择最小必要的授权范围。过度授权会增加安全风险。仔细查阅您要使用的Google API的文档，了解所需的具体scope。
• 令牌有效期: 获取到的访问令牌通常有较短的有效期（例如，1小时）。在令牌过期后，您需要重新执行上述流程以获取新的令牌。
• 错误处理: 示例代码中包含了基本的错误处理，但在实际应用中，您应该实现更健壮的错误日志记录和重试机制。
• 旧版库提示: code.google.com/p/goauth2是Go语言早期的一个OAuth2客户端库。虽然它仍然有效，但Go社区目前更推荐使用golang.org/x/oauth2及其相关的子包，它们提供了更现代、更灵活的API。然而，本教程严格遵循了原始问题中提供的解决方案。

7. 总结

本教程详细指导了如何在Go语言中使用JWT机制对Google服务账户进行授权。通过将P12私钥转换为PEM格式，并利用goauth2/oauth/jwt包，我们能够成功地获取访问令牌，为您的Go应用程序与Google服务的交互提供了坚实的认证基础。请务必注意私钥的安全性以及授权范围的合理配置，以确保您的应用程序安全可靠。

以上就是Go语言中通过JWT授权Google服务账户的教程的详细内容，更多请关注php中文网其它相关文章！