So rufen Sie Berechtigungen vom Auth0-JWT-Token mit Go Gin ab

Frageninhalt

Ich lerne go und möchte eine einfache Anwendung mit auth0 einrichten. Mithilfe ihres Tutorials konnte ich die Basisauthentifizierung für meinen API-Endpunkt einrichten. Jetzt möchte ich die Berechtigungsbehandlung mithilfe des JWT-Tokens hinzufügen. Also habe ich RBAC für den API-Endpunkt aktiviert und Berechtigungen hinzugefügt. Ich habe den Flow aus dem Tutorial für benutzerdefinierte Deklarationen verwendet, aber meine eigene Middleware damit geschrieben und sie für die Arbeit mit Gin angepasst.

func NeedsPermission(expectedScope string) gin.HandlerFunc {
    return func(context *gin.Context) {
        token := context.Request.Context().Value(jwtmiddleware.ContextKey{}).(*validator.ValidatedClaims)

        claims := token.CustomClaims.(*CustomClaims)

        if !claims.HasScope(expectedScope) {
            context.AbortWithStatus(403)
        }
        context.Next()
    }
}

Das Problem besteht darin, dass das Token keine benutzerdefinierten Ansprüche enthält, sondern nur die Standardansprüche: openid-, Profil- und E-Mail-Ansprüche.

Das ist der Token-Inhalt:

{
  "iss": "https://dev-****.us.auth0.com/",
  "sub": "google-oauth2|****",
  "aud": [
    "localhost:3000/books",
    "https://dev-****.us.auth0.com/userinfo"
  ],
  "iat": 1701789297,
  "exp": 1701875697,
  "azp": "***",
  "scope": "openid profile email",
  "permissions": [
    "read:books"
  ]
}

Es gibt also eine Feldberechtigung, aber wie greife ich mit auth0/go-jwt-middleware darauf zu oder muss ich es zuerst irgendwie dekodieren?

Problemumgehung

Berechtigungen sind benutzerdefinierte Deklarationen, daher müssen Sie die WithCustomClaims 选项以及 validator.CustomClaims Implementierung der Schnittstelle übergeben. Wenn Sie dann den Validator erstellen:

...
    jwtValidator, _ := validator.New(
        keyFunc,
        validator.HS256,
        issuer,
        audience,
        validator.WithCustomClaims(func() validator.CustomClaims {
            return &MyClaims{}
        }),
    )
    mw := jwtmiddleware.New(jwtValidator.ValidateToken)
    ...

Unter ihnen MyClaims 是这样的。请注意您的 HasScope Methode:

type MyClaims struct {
    Permissions    []string `json:"permissions"`
}

func (c *MyClaims) Validate(ctx context.Context) error {
    // Validate structure of permissions here, i.e. check for 400 not 403
    return nil
}

func (c MyClaims) HasScope(requiredPerm string) bool {
    for _, perm := range c.Permissions {
        if perm == requiredPerm {
            return true
        }
    }
    return false
}

Das obige ist der detaillierte Inhalt vonSo rufen Sie Berechtigungen vom Auth0-JWT-Token mit Go Gin ab. Für weitere Informationen folgen Sie bitte anderen verwandten Artikeln auf der PHP chinesischen Website!