Go语言微服务如何做服务间鉴权_Golang内部mTLS与JWT校验方案-Golang-PHP中文网

必须用mtls+jwt混合方案：mtls确保传输链路加密与客户端证书校验，jwt仅作身份断言，需严格校验iss、aud、exp，隔离用户与服务鉴权逻辑，grpc场景使用perrpccredentials与拦截器，公钥支持热更新与双钥轮换。

go语言微服务如何做服务间鉴权_golang内部mtls与jwt校验方案

必须用 mTLS + JWT 混合，单靠任一机制都不安全。mTLS 保传输链路可信，JWT 做服务身份断言；缺一不可。

没有 mTLS，JWT 就是明文钥匙——中间人能截、能存、能重放。Go 标准库 crypto/tls 完全支持，无需第三方框架。

服务端必须设 ClientAuth: tls.RequireAndVerifyClientCert，否则不强制验客户端证书
服务端 ClientCAs 和客户端 RootCAs 必须加载同一份 CA PEM，否则握手失败
客户端发起请求时，不能用 http.DefaultTransport；必须自定义 http.Transport 并传入 tls.Certificate 实例（含 client.crt + client.key）
测试环境可临时设 InsecureSkipVerify: true，但生产环境必须禁用——这是红线

JWT 不解决传输安全，只做身份断言。它必须由统一授权中心签发，且所有服务只信任一个 iss（如 "https://authz.internal"）。

Golang Uber Dig

使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等

下载

传递字段必须是 X-Service-Token，绝不能复用 Authorization: Bearer——用户 Token 和服务 Token 的签发源、aud、有效期、校验逻辑完全不同
aud 字段必须严格匹配当前服务名，建议从环境变量读取：os.Getenv("SERVICE_NAME")，硬编码会引发跨服务 token 复用漏洞
签名必须用 RS256 或 ES256，服务端只持公钥；别用 HS256，密钥分发和轮换在微服务里就是灾难
校验时不能只看 token.Valid；必须手动比对 iss、aud、exp，且 exp 验证要容忍最多 5 秒时钟偏移：token.Claims.VerifyExpiresAt(time.Now().Add(5*time.Second).Unix(), true)

顺序不能错：先验 mTLS，再解 JWT。跳过前者，后者毫无意义。

HTTP 中间件开头必须加断言：if c.Request.TLS == nil || len(c.Request.TLS.PeerCertificates) == 0 { c.AbortWithStatus(401); return }
用 github.com/golang-jwt/jwt/v5，必须调用 jwt.ParseWithClaims(tokenStr, &jwt.MapClaims{}, keyFunc)，不能用 jwt.Parse()
公钥加载不能每次校验都读文件或远程拉 JWKS；启动时用 io/fs.ReadFile 加载 PEM，并缓存为 *rsa.PublicKey 实例
gRPC 场景下，用 PerRPCCredentials 透传 token，别手动塞 metadata；服务端拦截器同样要先验 req.TLS，再解析 metadata.MD["x-service-token"]