Golang SecureCookie 使用指南

SecureCookie 是一个用于 Go 语言的库，它提供了安全编码和解码 Cookie 的功能，能够防止客户端篡改 Cookie 值。下面我将详细介绍如何使用这个库。

安装

go get github.com/gorilla/securecookie

基本用法

package main

import (
	"fmt"
	"net/http"
	"github.com/gorilla/securecookie"
)

var (
	// HashKey 用于认证 (32或64字节)
	hashKey = securecookie.GenerateRandomKey(32)
	// BlockKey 用于加密 (16, 24或32字节)
	blockKey = securecookie.GenerateRandomKey(32)
	s = securecookie.New(hashKey, blockKey)
)

func main() {
	http.HandleFunc("/set", setCookieHandler)
	http.HandleFunc("/get", getCookieHandler)
	http.ListenAndServe(":8080", nil)
}

func setCookieHandler(w http.ResponseWriter, r *http.Request) {
	value := map[string]string{
		"foo": "bar",
	}
	
	if encoded, err := s.Encode("cookie-name", value); err == nil {
		cookie := &http.Cookie{
			Name:     "cookie-name",
			Value:    encoded,
			Path:     "/",
			Secure:   true,
			HttpOnly: true,
		}
		http.SetCookie(w, cookie)
	}
	fmt.Fprintln(w, "Cookie set!")
}

func getCookieHandler(w http.ResponseWriter, r *http.Request) {
	if cookie, err := r.Cookie("cookie-name"); err == nil {
		value := make(map[string]string)
		if err = s.Decode("cookie-name", cookie.Value, &value); err == nil {
			fmt.Fprintf(w, "Cookie value: %v", value)
		}
	} else {
		fmt.Fprintln(w, "Cookie not found")
	}
}

高级配置

自定义编码器

s := securecookie.New(hashKey, blockKey)
s.SetSerializer(securecookie.JSONEncoder{})

自定义哈希和加密算法

s := securecookie.New(hashKey, blockKey)
s.HashFunc(func() hash.Hash {
	return sha256.New()
})
s.BlockFunc(func(block []byte) (cipher.Block, error) {
	return aes.NewCipher(block)
})

设置最大年龄

s.MaxAge(86400) // 1天

安全最佳实践

1. 密钥管理：

   • 不要硬编码密钥
   • 使用环境变量或配置管理系统
   • 定期轮换密钥

2. Cookie设置：

   • 始终设置 Secure 标志（HTTPS）
   • 使用 HttpOnly 防止JavaScript访问
   • 设置适当的 Path 和 Domain

3. 错误处理：

   • 不要忽略解码错误
   • 无效Cookie应被视为攻击尝试

完整示例

package main

import (
	"log"
	"net/http"
	"os"
	
	"github.com/gorilla/securecookie"
)

type User struct {
	Name  string
	Email string
}

var (
	hashKey  = []byte(os.Getenv("COOKIE_HASH_KEY"))
	blockKey = []byte(os.Getenv("COOKIE_BLOCK_KEY"))
	sc       = securecookie.New(hashKey, blockKey)
)

func main() {
	http.HandleFunc("/login", loginHandler)
	http.HandleFunc("/profile", profileHandler)
	
	log.Println("Starting server on :8080")
	log.Fatal(http.ListenAndServe(":8080", nil))
}

func loginHandler(w http.ResponseWriter, r *http.Request) {
	user := User{
		Name:  "John Doe",
		Email: "john@example.com",
	}
	
	encoded, err := sc.Encode("user", user)
	if err != nil {
		http.Error(w, err.Error(), http.StatusInternalServerError)
		return
	}
	
	cookie := &http.Cookie{
		Name:     "user",
		Value:    encoded,
		Path:     "/",
		MaxAge:   3600, // 1小时
		Secure:   true,
		HttpOnly: true,
		SameSite: http.SameSiteLaxMode,
	}
	
	http.SetCookie(w, cookie)
	w.Write([]byte("Login successful"))
}

func profileHandler(w http.ResponseWriter, r *http.Request) {
	cookie, err := r.Cookie("user")
	if err != nil {
		http.Error(w, "Unauthorized", http.StatusUnauthorized)
		return
	}
	
	var user User
	if err = sc.Decode("user", cookie.Value, &user); err != nil {
		http.Error(w, "Invalid cookie", http.StatusBadRequest)
		return
	}
	
	w.Write([]byte("Welcome " + user.Name + " (" + user.Email + ")"))
}

注意事项

1. 密钥长度必须正确：

   • HashKey: 32或64字节
   • BlockKey: 16(AES-128), 24(AES-192)或32(AES-256)字节

2. 生产环境不要使用随机生成的密钥，应该使用固定的安全密钥

3. 对于分布式系统，所有实例必须使用相同的密钥

SecureCookie 提供了一种简单而安全的方式来处理 Web 应用中的 Cookie，防止客户端篡改数据，是构建安全 Web 应用的重要工具之一。