Go语言如何做HTTP Basic认证_Golang请求头Authorization处理-Golang-PHP中文网

http.BasicAuth 不能直接当认证开关用，因为它仅解析并解码 Authorization 头，不校验空密码、不处理解码错误、不设置 WWW-Authenticate 响应头，也无任何安全检查。

go语言如何做http basic认证_golang请求头authorization处理

Go 语言里做 HTTP Basic 认证，关键不是“设个头就完事”，而是必须手动解析 + 显式校验 + 正确响应；否则 http.BasicAuth 只是摆设，Authorization 头可能被代理丢掉、解码失败不报错、空密码直接放行。

为什么 http.BasicAuth 函数不能直接当认证开关用

http.BasicAuth 只做一件事：从 r.Header.Get("Authorization") 中提取并 base64 解码，返回 username 和 password 字符串。它不检查是否为空、不验证合法性、不返回错误、也不写响应头。

如果客户端发 Authorization: Basic dXNlcjo=（即 user:），http.BasicAuth 返回 username="user", password="" —— 你若没判空，就等于允许空密码登录
如果 base64 编码损坏（比如少一位），它静默返回空字符串，不会 panic，也不会告诉你哪里错了
它不处理 WWW-Authenticate 响应头，401 也得你自己写：w.Header().Set("WWW-Authenticate", `Basic realm="api"`)
典型误用：user, pass := r.BasicAuth(); if user == "admin" { next.ServeHTTP(w, r) } —— 这里完全没校验 pass，也没拒绝非法输入

手动解析 Authorization 头的正确步骤

绕过 http.BasicAuth 直接解析，控制力更强，也更容易加日志、限流或兼容非标准客户端。

先取头：authHeader := r.Header.Get("Authorization")，空值直接 401
按空格分割，检查前缀：if !strings.HasPrefix(authHeader, "Basic ") → 拒绝，避免把 Bearer xxx 当 Basic 处理
取 base64 部分：cred := strings.TrimPrefix(authHeader, "Basic ")，再用 base64.StdEncoding.DecodeString(cred)
解码失败时，用 errors.Is(err, base64.CorruptInputError) 判断，不要只写 err != nil
解码后按第一个 : 分割用户名密码：parts := strings.SplitN(decoded, ":", 2)，len(parts) != 2 就算格式错误

StripPrefix 或反向代理下 Basic Auth 失效的真相

常见现象：本地 curl 能过，上线 Nginx 后总 401；或者 /api/users 路由加了认证，但请求 /api/users/（带尾斜杠）就跳过校验。

Golang Uber Dig

使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等

下载

http.StripPrefix("/api", h) 后，r.URL.Path 是去前缀后的路径（如 /users），但你的认证中间件如果写在 StripPrefix 外层，它看到的还是 /api/users —— 路径判断失效，甚至根本没进校验逻辑
Nginx 默认不转发 Authorization 头，需显式配置：proxy_set_header Authorization $http_authorization;，否则 Go 进程收不到该头
调试时别只打 r.URL.Path，要打印 r.Header 全量内容，确认 Authorization 是否到达
生产建议：对所有未带 Authorization 的 GET /api/.* 请求打 warn 日志，快速暴露代理漏配

Go 客户端发 Basic Auth 请求时重定向丢头的问题

用 http.Client 请求一个会 301 跳转到 HTTPS 的地址，目标服务返回 401 —— 不是你服务写错了，是 Go 客户端默认不带 Authorization 头重试。

根本原因：http.Client.CheckRedirect 默认策略会丢弃敏感头，包括 Authorization

修复方式：自定义重定向函数，显式复制头：

client := &http.Client{<br>    CheckRedirect: func(req *http.Request, via []*http.Request) error {<br>        req.Header.Set("Authorization", via[0].Header.Get("Authorization"))<br>        return nil<br>    },<br>}