Golang REST API 如何将已验证解码的JWT token信息传递给路由处理函数

方案结论 #

Go生态下这类场景的公认最佳实践是使用 http.Request 附带的 Context 传递解析后的JWT声明。

其他方案劣势说明 #

• Redis存储方案：仅为了传递声明而引入Redis属于完全冗余的设计，不仅增加外部依赖，还会额外增加每次请求的Redis IO开销。只有需要实现主动token作废（如用户登出后立即失效）的场景才需要结合Redis使用，单纯传递解析后的声明完全不需要。
• 中间件仅验证、处理函数再解析声明的方案：存在冗余计算问题，同时JWT解析逻辑散落在中间件和业务处理函数两处，后续逻辑调整需要修改多份代码，维护成本高，不符合代码复用原则。

Context方案实现示例 #

前置定义 #

首先需要自定义Context的key类型，避免和其他包的key产生命名冲突：

import (
    "context"
    "strings"
    "net/http"
    "fmt"
    "github.com/golang-jwt/jwt/v5"
)

// 自定义context key类型，避免跨包key冲突
type contextKey string
const claimsContextKey contextKey = "jwt_claims"

// 自定义Claims结构，根据实际存储的JWT字段调整
type MyCustomClaims struct {
    UserID   uint   `json:"user_id"`
    Role     string `json:"role"`
    Username string `json:"username"`
    jwt.RegisteredClaims
}

JWT中间件实现 #

func JWTMiddleware(next http.Handler) http.Handler {
    return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        // 从Authorization头提取token
        authHeader := r.Header.Get("Authorization")
        if authHeader == "" || !strings.HasPrefix(authHeader, "Bearer ") {
            w.WriteHeader(http.StatusUnauthorized)
            return
        }
        tokenStr := strings.TrimPrefix(authHeader, "Bearer ")

        // 解析并验证token合法性
        claims := &MyCustomClaims{}
        token, err := jwt.ParseWithClaims(tokenStr, claims, func(token *jwt.Token) (interface{}, error) {
            // 替换为你的JWT签名密钥
            return []byte("你的JWT签名密钥"), nil
        })
        if err != nil || !token.Valid {
            w.WriteHeader(http.StatusUnauthorized)
            return
        }

        // 将解析完成的claims存入context
        ctx := context.WithValue(r.Context(), claimsContextKey, claims)
        // 使用带新context的request传递给后续处理逻辑
        next.ServeHTTP(w, r.WithContext(ctx))
    })
}

路由处理函数中读取声明 #

func MyBusinessHandler(w http.ResponseWriter, r *http.Request) {
    // 从context中取出JWT声明
    claims, ok := r.Context().Value(claimsContextKey).(*MyCustomClaims)
    if !ok {
        w.WriteHeader(http.StatusInternalServerError)
        return
    }

    // 直接使用claims做权限校验
    if claims.Role != "admin" {
        w.WriteHeader(http.StatusForbidden)
        return
    }

    // 后续业务逻辑
    w.Write([]byte(fmt.Sprintf("欢迎访问成功，用户ID：%d", claims.UserID)))
}

方案优势 #

• 无额外依赖，性能优异：context是Go标准库原生支持的特性，全程内存操作无额外IO开销，性能远高于依赖Redis的方案
• 逻辑内聚易维护：JWT的解析、校验逻辑全部收拢在中间件中，后续调整只需要修改一处代码即可
• 符合Go语言惯用设计：Go标准库中大量请求生命周期内的共享数据传递默认使用context实现，是业内公认的实现规范

内容的提问来源于stack exchange，提问作者Ol1BoT