如何在 Go 项目中隐藏敏感信息，比如避免暴露用户密码？

2024-11-23
上海
本文字数：1636 字
阅读完需：约 5 分钟

在我们日常开发的 Go 项目中，用户信息管理是一个非常常见的场景。特别是当我们需要存储和处理用户密码等敏感信息时，如何确保这些信息不暴露给客户端就显得尤为重要。

今天我们来讨论一个简单而实用的技巧——如何在返回用户数据时，隐藏密码字段。

场景介绍

假设我们有一个 User 结构体，用于表示用户信息，结构体包含以下三个字段：

type User struct {    UserID   int64  // 用户ID    Name     string // 用户名    Password string // 用户密码（需要加密）}

复制代码

在这个例子中，Password 字段保存的是用户密码的加密结果。我们希望在返回用户数据时，不要把这个 Password 字段暴露给客户端。

那么，我们有什么办法呢？

这里我提供了以下 3 种思路，供各位参考。如果你有更好的方式，也欢迎留言讨论。

方法一：使用 JSON 标签忽略字段

Go 提供了一个非常便捷的方法来控制结构体字段的 JSON 序列化行为，那就是通过结构体标签（Tags）。我们可以在 Password 字段上添加 json:"-" 标签，表示在序列化成 JSON 时忽略这个字段：

type User struct {    UserID   int64  `json:"user_id"`    Name     string `json:"name"`    Password string `json:"-"` // 忽略该字段}

复制代码

当我们将 User 结构体序列化为 JSON 时，Password 字段将不会出现在结果中：

user := User{    UserID:   1,    Name:     "John",    Password: "encrypted_password",}
jsonData, err := json.Marshal(user)if err != nil {    log.Fatal(err)}
fmt.Println(string(jsonData))// 输出: {"user_id":1,"name":"John"}

复制代码

这样做的好处是简单直接，而且不需要更改其他代码，只需在定义结构体时添加一个标签即可。

方法二：自定义序列化逻辑

如果项目需求较为复杂，或者您希望在序列化时根据不同的条件动态控制输出内容，那么可以考虑自定义序列化逻辑。具体做法是实现 json.Marshaler 接口：

type User struct {    UserID   int64    Name     string    Password string}
func (u User) MarshalJSON() ([]byte, error) {    return json.Marshal(struct {        UserID int64  `json:"user_id"`        Name   string `json:"name"`    }{        UserID: u.UserID,        Name:   u.Name,    })}

复制代码

在这个例子中，我们手动控制了 JSON 的输出内容，只包含 UserID 和 Name 字段，而 Password 字段则被自动忽略。

方法三：使用数据传输对象（DTO）

另一种常见且推荐的做法是使用数据传输对象（DTO, Data Transfer Object）。

这种方法的核心思想是将内部数据和外部数据表示分离，通过专门的结构体来控制输出内容。

首先，我们定义一个不包含 Password 字段的结构体 UserDTO：

type UserDTO struct {    UserID int64  `json:"user_id"`    Name   string `json:"name"`}

复制代码

然后，在需要返回用户数据时，我们将 User 结构体转换为 UserDTO：

func NewUserDTO(user User) UserDTO {    return UserDTO{        UserID: user.UserID,        Name:   user.Name,    }}

复制代码

最后，在实际使用时，我们只返回 UserDTO 的 JSON 数据：

user := User{    UserID:   1,    Name:     "John",    Password: "encrypted_password",}
userDTO := NewUserDTO(user)
jsonData, err := json.Marshal(userDTO)if err != nil {    log.Fatal(err)}
fmt.Println(string(jsonData))// 输出: {"user_id":1,"name":"John"}

复制代码

这种方法不仅可以隐藏敏感信息，还能增强代码的可读性和维护性。通过这种分层设计，我们可以轻松地控制数据的输入输出，避免不必要的安全风险。

总结

在项目开发过程中，保护敏感信息不被泄露是一项至关重要的工作。通过使用 JSON 标签、自定义序列化逻辑，或者数据传输对象（DTO），我们都可以有效地控制数据的输出内容，从而避免将敏感信息暴露给客户端。

根据您的实际需求，可以选择合适的方式来实现这一功能。如果只是简单地隐藏字段，使用 json:"-" 标签是最便捷的；如果需要更灵活的控制，推荐使用自定义序列化或 DTO 方式。

发布于: 刚刚阅读数: 3

原文链接:【http://xie.infoq.cn/article/a1bba59a42ae76a9541ad78be】。文章转载请联系作者。

左诗右码

关注

全网同名，欢迎关注交流。 2018-11-22 加入

三观比五官更正，思想比套路更深。常用技术栈PHP、Go、Python，享受编程，平时爱好写点文章。V公主号：「左诗右码」，欢迎关注交流。

发布

暂无评论

创作场景

如何在 Go 项目中隐藏敏感信息，比如避免暴露用户密码？

场景介绍

方法一：使用 JSON 标签忽略字段

方法二：自定义序列化逻辑

方法三：使用数据传输对象（DTO）

总结

左诗右码

评论