Golang如何构建自己的授权服务器？有哪些学习资源推荐

要实现一个完整的OAuth 2.0授权服务器，Go语言有几个优秀的库可以使用。以下是基于golang.org/x/oauth2和ory/fosite的实现示例：

使用Fosite构建授权服务器

Fosite是一个符合OAuth 2.0和OpenID Connect标准的Go安全框架：

package main

import (
    "context"
    "net/http"
    
    "github.com/ory/fosite"
    "github.com/ory/fosite/compose"
    "github.com/ory/fosite/storage/memory"
)

func main() {
    // 创建存储
    store := memory.NewMemoryStore()
    
    // 配置OAuth 2.0
    config := &compose.Config{
        AccessTokenLifespan: time.Hour,
        // 其他配置...
    }
    
    // 创建OAuth 2.0提供者
    oauth2Provider := compose.Compose(
        config,
        store,
        &compose.CommonStrategy{
            CoreStrategy: compose.NewOAuth2HMACStrategy(config, []byte("some-super-secret-key")),
        },
        nil, // 自定义的hasher
        compose.OAuth2AuthorizeExplicitFactory,
        compose.OAuth2TokenIntrospectionFactory,
    )
    
    // 授权端点
    http.HandleFunc("/oauth2/auth", func(w http.ResponseWriter, r *http.Request) {
        ctx := context.Background()
        
        // 创建授权请求
        ar, err := oauth2Provider.NewAuthorizeRequest(ctx, r)
        if err != nil {
            // 处理错误
            return
        }
        
        // 这里应该验证用户身份
        // 然后重定向到客户端
        oauth2Provider.WriteAuthorizeResponse(w, ar, nil)
    })
    
    // 令牌端点
    http.HandleFunc("/oauth2/token", func(w http.ResponseWriter, r *http.Request) {
        ctx := context.Background()
        
        // 处理令牌请求
        accessRequest, err := oauth2Provider.NewAccessRequest(ctx, r, nil)
        if err != nil {
            // 处理错误
            return
        }
        
        response, err := oauth2Provider.NewAccessResponse(ctx, accessRequest)
        if err != nil {
            // 处理错误
            return
        }
        
        oauth2Provider.WriteAccessResponse(w, accessRequest, response)
    })
    
    http.ListenAndServe(":8080", nil)
}

完整的授权码流程示例

// 客户端配置
type Client struct {
    ID           string
    Secret       string
    RedirectURIs []string
}

// 存储实现
type Storage struct {
    clients map[string]*Client
    codes   map[string]*AuthorizationCode
    tokens  map[string]*AccessToken
}

// 授权码
type AuthorizationCode struct {
    Code        string
    ClientID    string
    RedirectURI string
    ExpiresAt   time.Time
    Scope       []string
}

// 访问令牌
type AccessToken struct {
    Token     string
    ClientID  string
    UserID    string
    ExpiresAt time.Time
    Scope     []string
}

// 授权端点处理
func handleAuthorization(w http.ResponseWriter, r *http.Request) {
    clientID := r.URL.Query().Get("client_id")
    redirectURI := r.URL.Query().Get("redirect_uri")
    responseType := r.URL.Query().Get("response_type")
    state := r.URL.Query().Get("state")
    
    // 验证客户端
    client, exists := storage.GetClient(clientID)
    if !exists {
        http.Error(w, "Invalid client", http.StatusBadRequest)
        return
    }
    
    // 验证重定向URI
    if !isValidRedirectURI(client, redirectURI) {
        http.Error(w, "Invalid redirect URI", http.StatusBadRequest)
        return
    }
    
    // 授权码流程
    if responseType == "code" {
        // 生成授权码
        code := generateAuthorizationCode(clientID, redirectURI)
        
        // 存储授权码
        storage.SaveAuthorizationCode(code)
        
        // 重定向到客户端
        redirectURL := fmt.Sprintf("%s?code=%s&state=%s", 
            redirectURI, code.Code, state)
        http.Redirect(w, r, redirectURL, http.StatusFound)
    }
}

// 令牌端点处理
func handleToken(w http.ResponseWriter, r *http.Request) {
    grantType := r.FormValue("grant_type")
    code := r.FormValue("code")
    clientID := r.FormValue("client_id")
    clientSecret := r.FormValue("client_secret")
    
    // 验证客户端凭证
    if !validateClientCredentials(clientID, clientSecret) {
        http.Error(w, "Invalid client credentials", http.StatusUnauthorized)
        return
    }
    
    if grantType == "authorization_code" {
        // 验证授权码
        authCode, exists := storage.GetAuthorizationCode(code)
        if !exists || authCode.ClientID != clientID {
            http.Error(w, "Invalid authorization code", http.StatusBadRequest)
            return
        }
        
        // 生成访问令牌
        accessToken := generateAccessToken(clientID, authCode.UserID)
        
        // 返回令牌响应
        response := map[string]interface{}{
            "access_token": accessToken.Token,
            "token_type":   "Bearer",
            "expires_in":   int(accessToken.ExpiresAt.Sub(time.Now()).Seconds()),
            "scope":        strings.Join(accessToken.Scope, " "),
        }
        
        json.NewEncoder(w).Encode(response)
    }
}

学习资源推荐

1. 官方文档和规范：

   • RFC 6749 - OAuth 2.0
   • OpenID Connect Core 1.0

2. Go库：

   • golang.org/x/oauth2 - 官方OAuth2库
   • ory/fosite - 完整的OAuth2和OpenID Connect实现
   • go-oauth2/oauth2 - 轻量级OAuth2服务器

3. 示例项目：

   • ory/hydra - 企业级OAuth2和OpenID Connect服务器
   • authboss - Web身份验证模块
   • casbin - 授权库，可与OAuth2结合使用

4. 教程和文章：

   • Go OAuth2 Server Tutorial
   • Building an OAuth 2.0 Server in Go

这些资源提供了从基础概念到完整实现的所有必要信息，可以帮助你构建符合标准的授权服务器。