做开放平台最容易踩的第一个坑，就是把"认证"和"授权"混为一谈—— 新人写代码经常在登录中间件里直接判断"这个用户能不能访问这个 API"， 把两件事揉在一起，三个月后只能推倒重来。 所以第一天，先把这三个英文单字母都以 A 开头的概念彻底分开。

定义与区分

机场登机类比

把这三件事映射到一次飞行体验:

为什么必须分开

1. 演进节奏不同。 认证方式可能 5 年一变(从密码到 Passkey),授权策略可能每天都在调整。耦合在一起,改任何一边都要回归测试另一边。
2. 外包与委托能力不同。 你可以把认证外包给"Sign in with Google"(OIDC),但授权(谁能调你哪个 API)必须自己控制——这是开放平台最基本的边界。
3. 故障影响面不同。 认证挂了所有人登不上来;授权挂了可能"什么都能干"——后者通常更危险,需要不同等级的灰度与回滚机制。
4. 审计要求不同。 认证关注"是不是本人",审计关注"做了哪些事"——前者是登录瞬间的快照,后者是连续的流水。

HTTP 协议自己就内置了一套认证框架,叫 HTTP Authentication。 虽然今天 SaaS 应用很少直接用 Basic / Digest 登录, 但这两个老协议留下来的"Challenge-Response 模型"和 Authorization 请求头, 被后来的 Bearer Token / OAuth / Hawk 全部继承——理解它们就是理解一切 HTTP 鉴权的起点。

Challenge-Response 时序

Basic 认证(RFC 7617)

最简单粗暴的方案: 把用户名和密码用冒号拼接、Base64 编码,放进 Authorization 请求头。

# 客户端手动构造
$ echo -n "alice:s3cr3t" | base64
YWxpY2U6czNjcjN0

# 浏览器 / curl 会自动加这一行
GET /admin HTTP/1.1
Host: api.example.com
Authorization: Basic YWxpY2U6czNjcjN0

# curl 一行测试
$ curl -u alice:s3cr3t https://api.example.com/admin
$ curl -H "Authorization: Basic YWxpY2U6czNjcjN0" https://api.example.com/admin

Digest 认证(RFC 7616)

为了让密码"不再上路", HTTP 设计了 Digest 方案: 服务端发一个一次性 nonce, 客户端用 nonce + 密码 + 请求方法 + URI 做哈希再回传。 这样服务端能验证, 但中间人拿到响应也复用不了(nonce 用完作废)。

# 服务端 challenge
WWW-Authenticate: Digest
  realm="api",
  qop="auth",
  nonce="dcd98b7102dd2f0e8b11d0f600bfb0c093",
  opaque="5ccc069c403ebaf9f0171e9517f40e41"

# 客户端用 H(A1) + H(A2) + nonce 哈希后响应
# H(A1) = MD5(user:realm:password)
# H(A2) = MD5(method:uri)
# response = MD5( H(A1) : nonce : nc : cnonce : qop : H(A2) )

Authorization: Digest username="alice",
  realm="api",
  nonce="dcd98b71...",
  uri="/admin",
  qop=auth, nc=00000001, cnonce="0a4f113b",
  response="6629fae49393a05397450978507c4ef1"

Authorization 头的家族

虽然 Basic 退场了,但 Authorization: <scheme> <credentials> 这个语法被沿用至今。 你后面会反复见到这一族:

HTTP 是无状态的——每个请求对服务器都是陌生人。 可登录后我们需要"被记住",这就要在协议之上叠一层"状态"。 Cookie 是这一层的载体(RFC 6265),Session 是其上的应用模式。 所有现代 Web 登录,本质都是这两个东西的变体。

登录的标准时序

Cookie 的关键属性(必背)

Cookie 上的属性远比"键值对"重要——大多数线上事故都来自这几个属性没设对:

Session 存储选型

理论看完三遍不如自己跑一遍。三个 lab 由浅入深: 先用 net/http 内置能力实现 Basic Auth(看清 Authorization 头怎么解析); 再手写一个 50 行的内存 Session(看清 SID 与服务端存储的关系); 最后换上社区库 scs 写"生产规格"版本。

Lab 1 · 标准库实现 Basic Auth

// basic_auth.go · 一段就跑通的 Basic Auth Demo
package main

import (
    "crypto/subtle"
    "net/http"
)

func requireAuth(w http.ResponseWriter) {
    w.Header().Set("WWW-Authenticate", `Basic realm="ops", charset="UTF-8"`)
    http.Error(w, "unauthorized", http.StatusUnauthorized) // 401
}

func main() {
    http.HandleFunc("/admin", func(w http.ResponseWriter, r *http.Request) {
        user, pass, ok := r.BasicAuth()  // 自动解 base64
        if !ok {
            requireAuth(w); return
        }
        // 用 constant time 比较, 防止时序侧信道泄露用户名/密码
        userOK := subtle.ConstantTimeCompare([]byte(user), []byte("alice")) == 1
        passOK := subtle.ConstantTimeCompare([]byte(pass), []byte("s3cr3t")) == 1
        if !(userOK && passOK) {
            requireAuth(w); return
        }
        w.Write([]byte("hello, " + user + "\n"))
    })
    _ = http.ListenAndServe(":8080", nil)
}

# 跑起来 + 验证
$ go run basic_auth.go &
$ curl -i http://localhost:8080/admin
HTTP/1.1 401 Unauthorized
WWW-Authenticate: Basic realm="ops", charset="UTF-8"

$ curl -i -u alice:s3cr3t http://localhost:8080/admin
HTTP/1.1 200 OK
hello, alice

Lab 2 · 手写一个内存 Session(理解原理用)

// session_demo.go · 不要把这个用到生产 — 只为理解原理
package main

import (
    "crypto/rand"
    "encoding/hex"
    "net/http"
    "sync"
    "time"
)

type session struct {
    userID  int
    expires time.Time
}

var (
    store = map[string]session{}
    mu    sync.Mutex
)

func newSID() string {
    b := make([]byte, 32)
    _, _ = rand.Read(b)
    return hex.EncodeToString(b)  // 64 字符的随机 ID
}

func login(w http.ResponseWriter, r *http.Request) {
    // 略: 校验账号密码 → 假设是用户 42
    sid := newSID()
    mu.Lock()
    store[sid] = session{userID: 42, expires: time.Now().Add(2 * time.Hour)}
    mu.Unlock()

    http.SetCookie(w, &http.Cookie{
        Name:     "SID",
        Value:    sid,
        Path:     "/",
        HttpOnly: true,       // JS 拿不到
        Secure:   true,       // 仅 HTTPS
        SameSite: http.SameSiteLaxMode,
        MaxAge:   60 * 60 * 2, // 2 小时
    })
    w.Write([]byte("logged in\n"))
}

func me(w http.ResponseWriter, r *http.Request) {
    c, err := r.Cookie("SID")
    if err != nil {
        http.Error(w, "no session", 401); return
    }
    mu.Lock(); s, ok := store[c.Value]; mu.Unlock()
    if !ok || time.Now().After(s.expires) {
        http.Error(w, "session expired", 401); return
    }
    w.Write([]byte("user=" + "42" + "\n"))
}

func main() {
    http.HandleFunc("/login", login)
    http.HandleFunc("/me", me)
    _ = http.ListenAndServe(":8080", nil)
}

Lab 3 · 用 scs 写生产规格的 Session

# scs 是 Go 生态里最干净的 Session Manager,支持 Redis/Postgres/Memcached 等多种后端
$ go get github.com/alexedwards/scs/v2
$ go get github.com/alexedwards/scs/redisstore
$ go get github.com/gomodule/redigo/redis

package main

import (
    "net/http"
    "time"

    "github.com/alexedwards/scs/redisstore"
    "github.com/alexedwards/scs/v2"
    "github.com/gomodule/redigo/redis"
)

var sm *scs.SessionManager

func main() {
    pool := &redis.Pool{
        Dial: func() (redis.Conn, error) { return redis.Dial("tcp", "localhost:6379") },
    }

    sm = scs.New()
    sm.Store = redisstore.New(pool)
    sm.Lifetime = 24 * time.Hour
    sm.Cookie.Name = "SID"
    sm.Cookie.HttpOnly = true
    sm.Cookie.Secure = true
    sm.Cookie.SameSite = http.SameSiteLaxMode

    mux := http.NewServeMux()
    mux.HandleFunc("/login", func(w http.ResponseWriter, r *http.Request) {
        sm.Put(r.Context(), "uid", 42)
        w.Write([]byte("ok"))
    })
    mux.HandleFunc("/me", func(w http.ResponseWriter, r *http.Request) {
        uid := sm.GetInt(r.Context(), "uid")
        if uid == 0 {
            http.Error(w, "no session", 401); return
        }
        w.Write([]byte("uid="))
    })

    _ = http.ListenAndServe(":8080", sm.LoadAndSave(mux))
}

1. 用一句话分别说清 Authentication / Authorization / Accounting 的责任。(提示: 你是谁 / 能干啥 / 干过啥)
2. HTTP Basic 的完整流程是哪四步? 中间为什么需要服务端先返回 401 + WWW-Authenticate?
3. Cookie 的 HttpOnly / Secure / SameSite 三个属性分别防什么攻击? 不设的话最坏会怎样?
4. "Session 存内存"和"Session 存 Redis"在生产环境分别有什么风险? 你会怎么选?
5. 动手写一段 Go 代码: 接收 Authorization: Basic xxx, 解析出 user/pass 并打印——不要用 r.BasicAuth(), 用 encoding/base64 手动解。