文章目录引言：认证与授权一、本篇学习目标与准备二、核心概念与实现思路1. 认证和授权的区别2. `Authorization: Bearer` 是什么3. `AuthMiddleware` 负责什么4. 为什么把用户放进 context5. `RequireRole` 负责什么6. 为什么 `/me` 和 `/admin` 要分开保护7. 为什么示例把 API Key 做 SHA-2568. 生产项目通常怎么做9. 401、403 和信息泄露10. API Key 的安全注意事项三、课程实战：运行、源码与测试1. 怎么运行核心源码拆解：`AuthMiddleware`源码中的测试：`TestPublicEndpointDoesNotNeedAuthentication`四、实战练习扩展练习 1：验证权限失败不执行业务扩展练习 2：扩展资源归属授权五、常见问题与排错问题 1：普通用户为什么可以访问 /me，却不能访问 /admin？问题 2：把 Key 做 SHA-256 就能当作密码方案吗？六、与前文的联系和工程应用七、本篇小结下期预告✍创作者：全栈弄潮儿🏡 个人主页：全栈弄潮儿的个人主页🏙️ 个人社区，欢迎你的加入：全栈开发社区📙 专栏：Go零基础实战引言：认证与授权“已经登录”并不代表“可以访问所有接口”。本篇用两组演示 API Key 区分普通用户和管理员，先在认证中间件确认身份，再在角色检查中决定访问权限，通过 401 和 403 观察两种失败的区别。一、本篇学习目标与准备区分身份认证与操作授权。解析 Bearer 凭证并写入请求身份。组合认证和角色检查中间件。课程目录：backend-training/Go/11-auth-a Go零基础实战第11期：认证与授权
文章目录引言：认证与授权一、本篇学习目标与准备二、核心概念与实现思路1. 认证和授权的区别2. `Authorization: Bearer` 是什么3. `AuthMiddleware` 负责什么4. 为什么把用户放进 context5. `RequireRole` 负责什么6. 为什么 `/me` 和 `/admin` 要分开保护7. 为什么示例把 API Key 做 SHA-2568. 生产项目通常怎么做9. 401、403 和信息泄露10. API Key 的安全注意事项三、课程实战：运行、源码与测试1. 怎么运行核心源码拆解：`AuthMiddleware`源码中的测试：`TestPublicEndpointDoesNotNeedAuthentication`四、实战练习扩展练习 1：验证权限失败不执行业务扩展练习 2：扩展资源归属授权五、常见问题与排错问题 1：普通用户为什么可以访问 /me，却不能访问 /admin？问题 2：把 Key 做 SHA-256 就能当作密码方案吗？六、与前文的联系和工程应用七、本篇小结下期预告✍创作者：全栈弄潮儿🏡 个人主页：全栈弄潮儿的个人主页🏙️ 个人社区，欢迎你的加入：全栈开发社区📙 专栏：Go零基础实战引言：认证与授权“已经登录”并不代表“可以访问所有接口”。本篇用两组演示 API Key 区分普通用户和管理员，先在认证中间件确认身份，再在角色检查中决定访问权限，通过 401 和 403 观察两种失败的区别。一、本篇学习目标与准备区分身份认证与操作授权。解析 Bearer 凭证并写入请求身份。组合认证和角色检查中间件。课程目录：backend-training/Go/11-auth-a