HTTP 基本身份验证，允许客户端在标准的 HTTP 头中发送用户名和密码。服务端可以验证这些信息，并确认客户端是否有权访问服务。这样做的好处在于，这是一种非常容易理解且得到广泛支持的协议。问题在于，通过 HTTP 有很高的风险，因为用户名和密码并没有以安全的方式发送。任何中间方都可以看到 HTTP 头的信息并读取里面的数据。因此，HTTP 基本身份验证通常应该通过 HTTPS 进行通信。
当使用 HTTPS 时，客户端获得强有力的保证，它所通信的服务端就是客户端想要通信的服务端。它给予我们额外的保护，避免人们窃听客户端和服务端之间的通信，或篡改有效负载。
服务端需要管理自己的SSL证书，当需要管理多台机器时会出现问题。一些组织自己承担签发证书的过程，这是一个额外的行政和运营负担。管理这方面的自动化工具远不够成熟，使用它们后你会发现，需要自己处理的事情就不止证书签发了。自签名证书不容易撤销，因此需要对灾难情景有更多的考虑。看看你是否能够避免自签名，以避开所有的这些工作。
SSL 之上的流量不能被反向代理服务器（比如 Varnish 或 Squid）所缓存，这是使用 HTTPS 的另一个缺点。这意味着，如果你需要缓存信息，就不得不在服务端或客户端内部实现。你可以在负载均衡中把 Https 的请求转成 Http 的请求，然后在负载均衡之后就可以使用缓存了。
还需要考虑，如果我们已经在使用现成的 SSO 方案（比如包含用户名密码信息的 SAML），该怎么办。我们想要基本身份验证使用同一套认证信息，然后在同一个进程里颁发和撤销吗？让服务与实现 SSO 所使用的那个目录服务进行通信即可做到这一点。或者，我们可以在服务内部存储用户名和密码，但需要承担存在重复行为的风险。
注意：使用这种方法，服务器只知道客户端有用户名和密码。我们不知道这个信息是否来自我们期望的机器；它可能来自网络中的其他人。
HTTP 基本身份验证是一种简单但不那么安全的认证方式，不太建议用于公开的商业应用，在此便不再展开，我们关注以下几种认证方式。
http协议是一种无状态的协议，如果没有任何认证机制，服务端对任何客户端的请求都是无差别的。在Web2.0时代，为了加强B/S交互的安全性，衍生出了Session-Cookie鉴权机制，通过在服务端开启会话，客户端存储SessionID，在每次请求时通过cookie传输SessionID的形式实现服务端基本鉴权。
cookie是保存在本地终端的数据。cookie由服务器生成，发送给浏览器，浏览器把cookie以kv形式保存到某个目录下的文本文件内，下一次请求同一网站时会把该cookie发送给服务器。由于cookie是存在客户端上的，所以浏览器加入了一些限制确保cookie不会被恶意使用，同时不会占据太多磁盘空间，所以每个域的cookie数量是有限的。
cookie的组成有：名称(key)、值(value)、有效域(domain)、路径(域的路径，一般设置为全局:"")、失效时间、安全标志(指定后，cookie只有在使用SSL连接时才发送到服务器(https))。
Session的中文翻译是“会话”，当用户打开某个web应用时，便与web服务器产生一次session。服务器使用session把用户的信息临时保存在了服务器上，用户离开网站后session会被销毁。这种用户信息存储方式相对cookie来说更安全，可是session有一个缺陷：如果web服务器做了负载均衡，那么下一个操作请求到了另一台服务器的时候session会丢失。
当程序需要为某个客户端的请求创建一个session时，服务器首先检查这个客户端的请求里是否已包含了一个session标识（称为SessionID），如果已包含则说明以前已经为此客户端创建过Session，服务器就按照SessionID把这个Session检索出来使用（检索不到，会新建一个），如果客户端请求不包含SessionID，则为此客户端创建一个Session并且生成一个与此Session相关联的SessionID，SessionID的值应该是一个既不会重复，又不容易被找到规律以仿造的字符串，这个SessionID将被在本次响应中返回给客户端保存。
保存这个SessionID的方式可以采用Cookie，这样在交互过程中浏览器可以自动的按照规则把这个标识发挥给服务器。一般这个Cookie的名字都是类似于SEEESIONID。但Cookie可以被人为的禁止，则必须有其他机制以便在Cookie被禁止时仍然能够把SessionID传递回服务器。
客户端第一次发送请求给服务器，此时服务器启动Session会话，产生一个唯一的SessionID，并通过Response的SetCookie返回给客户端，保存于客户端(一般为浏览器)，并与一个浏览器窗口对应着,由于HTTP协议的特性，这一次Request-Response
后连接就断开了。以后此客户端再发送请求给服务器的时候，就会在请求Request头中携带cookie,由于cookie中带有Key为sessionID的数据,所以服务器就知道这是刚才那个客户端。
正如我们前面所讨论的，如果担心用户名和密码被泄露，HTTP基本身份验证使用普通 HTTP 并不是非常明智的。传统的替代方式是使用HTTPS路由通信，但也有一些缺点。除了需要管理证书，HTTPS通信的开销使得服务器压力增加，而且通信难以被轻松地缓存。另外Session-Cookie机制也会有被客户限制的隐患，如果用户禁用Cookie则必须由其它方式实现鉴权。
所谓Token，即令牌。客户端需要鉴权访问私人信息时，会首次向服务端发送身份验证信息（如用户名、密码），服务端校验正确后会根据一定的加密算法生成Token令牌发放给客户端，此后客户端只需通过Token，服务端只需验证Token就可识别客户并进行交互，Token可存放于HTTP Header也可存放与Cookie。
以上为一个简单的Token鉴权过程。
关于Token机制，业界有一种叫JWT（JsonWebToken）的实现机制，下面我们来了解JWT。
JWT.io 对JSON Web Tokens进行了很好的介绍，
国内阮一峰的 《JSON Web Token 入门教程》 也讲得非常好懂，可以出门右拐了解一下。
简而言之，它是一个签名的JSON对象，可以执行一些有用的操作（例如，身份验证）。它是一组字串，分Header（头部）、Payload（负载）、Signature（签名）三部分，由'.'号连接，看起来就像下面这样：
用户发送认证信息给服务端后，服务端通过JWT生成规则，生成JWT字串作为Token发放给用户，用户以后每次访问都在HTTP Header携带JWT字串，已达到鉴权目的。由于其内部携带用户信息，部分使用者已经发现其安全隐患，但其安全度不至于太过容易破解，在移动应用中的鉴权机制使用较多，除此之外，一些分布式的微服务应用也通过JWT进行模块间的鉴权，还是有一定的使用场景的。
Go开源社区已有比较成熟的JWT包实现： jwt-go ，内附有JWT编解码的使用用例，还是很好懂的，感兴趣的可get来使用。在另一篇中也做了Go 使用JWT鉴权的示例： 《Go 鉴权（三）：JWT》 ,感兴趣可阅读以下，自己也在项目中实践一下。
OAUTH协议为用户资源的授权提供了一个安全的、开放而又简易的标准。同时，任何第三方都可以使用OAUTH认证服务，任何服务提供商都可以实现自身的OAUTH认证服务，因而OAUTH是开放的。
OpenID Connect 是 OAuth 2.0 具体实现中的一个标准。它使用简单的 REST 调用，因为提高了其易用性。对于一个面向公众的网站，你或许可以使用Google、Facebook、Github等作为提供者，国内可以使用QQ、微信、淘宝等作为提供者。但对于内部系统，或对于数据需要有更多控制权的系统而言，你会希望有自己的内部身份提供者。
OAuth2.0有四种授权模式，具体可看阮一峰的 《理解OAuth2.0》 ,其内容非常详细且好理解。
我们这里说一下最完整的授权码模式：
以上为OAuth2.0的认证过程。
各大厂都有提供基于OAuth2.0的三方授权服务，如QQ、微信、淘宝等等，有需要可移步到各自的开放平台查看文档，大都有提供Go的接口实现；另你也可参考使用Go官方提供实现的包 https://github.com/golang/oauth2 ，里面包含多数热门的OAuth客户端。
推荐使用 https://github.com/ory/hydra 这个开源项目，帮助你构建自己的OAuth服务
1、下载go的zip文件。并且一定要把文件解压到c:\go目录下。2、配置windows的高级环境变量。包括：GOROOT、GOOS、GOBIN、GOARCH。并且在path变量里面把c:\go\bin加入。以便可以在命令行直接运行go命令。
举例：我的机器：
GOPATH= c:\goc:\go\srcF:\workspace\goSample01
GOBIN=c:\go\binF:\workspace\goSample01\bin
其中，c:\go是go的安装路径；
F:\workspace\goSample01是我写的go语言项目的工程目录；
F:\workspace\goSample01\bin是go语言项目的工程目录下的可执行文件路径
3、在完成环境变量配置后，打开一个命令行窗口，直接输入go，然后回车，看看是否出现go的帮助信息。如果出现，那么go的基本环境就OK了。
注意：这个基本环境不包含开发工具，也不能直接编译带C代码的go程序。
4、
(可选)为了支持Import远程包，最好装个gomingw。下载地址：http://code.google.com/p/gomingw
/downloads/list。如果下的是压缩包，请把它解压到C盘。例如，C:\gowin-env。里面有个Console.bat是以后使用go
get的环境。举例：有个文件a.go,里面import(
"fmt"
"github.com/astaxie/beedb"
_ "github.com/ziutek/mymysql/godrv"
为了编译该a.go文件，需要启动Console.bat，然后在该命令行窗口，进入c:\go\src目录下，执行go getgithub.com/astaxie/beedb
Go get github.com/ziutek/mymysql/godrv .
Go会自动下载该远程包并编译和安装这些包。
配置goclipse（可选）
（如果不喜欢eclipse开发工具，请跳过这个配置。）
1、下载并安装goclipse插件。Goclipse是go语言for eclipse的插件，下载地址：http://code.google.com/p/goclipse/
2、启动eclipse并创建go项目。然后写个最简单的helloworld.go文件，并运行。代码如下：
packagemainimport"fmt"func main(){fmt.Printf("hello, world")}
配置gocode（可选）
如果不需要go语法辅助和eclipse里面的（按ALT+/）弹出go语言自动辅助功能，请跳过这个配置。
1、下载gocode的zip文件，解压后放在go的bin目录下。
2、下载并安装Git软件。并且在path里面配置git的执行路径。例如c:\git\bin
3、在命令行执行：go build .\gocode。如果一切正常，那么将会编译生成一个gocode.exe文件在go的bin目录下。如果编译失败，那么就转第4步。
4、如果第3步直接编译gocode源文件成功，那就直接到第5步。否则，就需要通过git下载gocode源文件，然后再编译。在命令行执行：go get -u github.com/nsf/gocode 。就会生成gocode.exe文件。
5、在goclipse插件里面指定gocode的路径。就可以在elcipse里面调用gocode来帮助写编码了。
从开发工具这块看，go语言还不够成熟，开发工具都还不完善，有待改进。
下载go-tour教程源代码（可选）
Google有个在线运行go语言的教程（http://tour.golang.org/#2），很不错。支持在web上直接运行大部分的go程序，想了解这个教程的源代码的朋友可以通过以下方式获取。如果没兴趣，可以跳过这个步骤。
1、下载安装Mercurial软件。
2、在命令行下输入：
hg clone
作为测试用的。如果把http改成https协议，下载就会失败。搞不懂。
编译带调用C代码的go文件（可选）
1、为了在windows下编译带C代码的go程序，你首先需要下载并安装MinGW或者Cygwin。
2、首选安装MinGW。在安装MinGW之后，记得要把MinGW安装目录\bin路径设置在path环境变量里面，以便能在dos窗口下直接调用gcc。
3、下载一个gowin-env。下载地址：gowin-env。下载后解压到某个目录下，例如：C:\gowin-env. 然后，编辑go-env.bat。配置相关的go参数。例如，我的配置是：
set GOARCH=386
set GOOS=windows
set GOROOT=c:\go
set GOBIN=%GOROOT%\bin
set GOPATH=%GOROOT%F:\workspace\goSample01
设置好go-env.bat后，就可以点击Console.bat来启动编译和运行窗口。
4、编写一个带C代码的go程序。例如，testc.go
5、编译
例如：
go build -compiler gccgo test_c.go
运行调用C代码的go文件（可选）
1、testc.go.
创建rand目录，然后在rand里面创建testc.go. 代码如下：
package rand
/*
//
#include <stdio.h>
*/
import "C"
func PrintHello() {
C.puts(C.CString("Hello, world\n"))
}
2、a.go
在rand下创建a.go.代码如下：
package rand
import "fmt"
func SayHello(name string){
fmt.Println(name)
}
3、test_import.go
在rand的上一级创建test_import.go。代码如下：
package main
import "./rand"
func main(){
rand.SayHello("tom")
rand.PrintHello()
}
4、运行test_import.go
go run test_import.go
在测试其它几个C代码的时候，发现windows版本的cgo还有些编译问题，同样的代码转移到苹果的XCODE下就没有问题。后来终于发现原因了，原来有些例子是unix平台下的，而在windows平台下，方法名和参数需要做调整。
例如：下面代码在windows下编译报一堆错误。
package rand
/*
#include <stdlib.h>
*/
import "C"
func Random() int {
return int(C.random())
}
func Seed(i int) {
C.srandom(C.uint(i))
}
这里需要把return int(C.random()) 修改为“return int(C.rand())”
C.srandom(C.uint(i))修改为“C.srand(C.uint(i))”编译就OK了。
