golang微服务安全需以认证、鉴权、加密为三大基石：JWT实现无状态认证，RBAC/ABAC结合Casbin做细粒度鉴权，全链路覆盖传输（httpS/gRPC TLS）、存储（AES-GCM+KMS）、通信（mTLS）加密，并辅以输入校验、日志脱敏、依赖更新等实践。
在 golang 微服务中，安全不是附加功能，而是架构基础。认证（你是谁）、鉴权（你能做什么）、加密（数据是否被窃听或篡改）三者缺一不可。不实现它们，服务暴露在内网也危险——内部攻击、配置失误、横向移动都可能造成严重后果。
用 JWT 实现轻量级认证
HTTP 无状态，微服务间调用需携带身份凭证。JWT（jsON Web Token）是主流选择：自包含、可签名、无需中心存储会话。
- 登录成功后，用
github.com/golang-jwt/jwt/v5签发 token，payload 中至少含sub（用户 ID）、exp（过期时间）、iss（签发方），避免存敏感信息 - 所有受保护接口加中间件：解析并校验签名、过期时间、签发者；验证失败直接返回
401 Unauthorized - 密钥必须安全保管——不要硬编码；生产环境用环境变量或 Secret Manager 加载，且建议定期轮换
基于角色/属性的细粒度鉴权
认证通过只代表“身份可信”，不等于“有权操作”。需在业务逻辑前检查权限。
- 简单场景可用 RBAC（Role-Based access Control）：例如定义
admin、user角色，每个 handler 开头调用authz.IsAllowed(userID, "order", "delete") - 复杂策略推荐 ABAC（Attribute-Based Access Control）：结合用户属性（部门、VIP等级）、资源属性（订单金额、所属租户）、环境属性（请求时间、IP 地段）。可用
casbin库统一管理策略规则 - 鉴权决策尽量前置——不要等数据库查完再拒绝；尤其跨服务调用时，建议在 API 网关层做初步拦截，减轻下游压力
全链路加密：传输 + 存储 + 通信
微服务间调用常走内网，但不能假设网络可信。加密要覆盖三个层面：
立即学习“go语言免费学习笔记（深入）”；
- 传输加密：强制 https（Ingress 或 Service Mesh 层 TLS 终止），gRPC 默认启用 TLS；服务间 HTTP 调用务必用
http.Client配置Transport.TLSClientConfig - 存储加密：敏感字段（如手机号、身份证号）写入数据库前，用 AES-GCM 等 AEAD 算法加密；密钥交由 KMS（如 AWS KMS、HashiCorp Vault）托管，应用只请求加密/解密操作
- 服务通信加密：若不用 Service Mesh（如 istio），可在 gRPC 拦截器中添加双向 TLS 认证（mTLS），确保只有合法服务实例能互相调用
其他关键实践
安全是系统工程，还需注意这些细节：
- 禁用默认健康检查路径暴露版本信息（如
/debug/pprof、/metrics），或限制仅内网 IP 可访问 - 所有外部输入（HTTP header、query、body）必须校验和清理，防注入、SSRF、XXE；用
go-playground/validator做结构体校验 - 日志脱敏：打印错误时过滤 token、密码、密钥字段；审计日志单独存储，保留至少 90 天
- 定期更新依赖：用
go list -u -m all和govulncheck扫描已知漏洞
基本上就这些。认证、鉴权、加密不是一次配置完就高枕无忧的事，要随业务演进持续评估策略有效性。比如新增一个第三方回调接口，就得同步补上签名验证和白名单 IP 控制——安全是迭代出来的习惯，不是上线前的 checklist。