Какие основные методы и подходы используются для обеспечения безопасности API в Go?

А, безопасность API, говоришь? Ну это ж, блядь, как многослойный пирог, только вместо вкуснятины — сплошной паранойя и проверки на вшивость. Слушай, разложу по полочкам, но без этой занудной академической хуйни.

Первое и главное — HTTPS. Это как, понимаешь, разговаривать по зашифрованному телефону, а не орать через всю улицу. Без него — нихуя. Любой проходимец может подслушать, что ты там передаёшь, пароли свои, данные. В рот меня чих-пых! Всё должно идти по HTTPS, точка.

Дальше — аутентификация. То есть «ты кто такой, сука?». Самые популярные способы:

• JWT — это типа пропускной жетон. Залогинился — получил бумажку (токен). Показываешь её при каждом следующем заходе. Сервер смотрит: «Ага, жетон не поддельный, проходи».
• OAuth 2.0 — это когда ты даёшь доступ какому-нибудь левому приложению к своим данным, но не даёшь ему свой пароль. Умно, да? «Вот, приятель, временный пропуск, а пароль мой — пошёл нахуй».

Ну аутентифицировались, и что? Теперь авторизация — «а что тебе, собственно, можно?».

• RBAC — всё по ролям. Ты user — тебе можно своё. Ты admin — тебе можно всё, ты царь и бог.
• ABAC — это уже похитрее. Тут смотрят на кучу всего: кто ты, что за ресурс, какое время суток. «Ах, ты Иван из отдела продаж в 3 ночи пытаешься получить финансовый отчёт? Иди нахуй, Иван».

А теперь, внимание, самый важный пункт, ёпта! Валидация входных данных. Ты должен исходить из того, что все клиенты — ебаные распиздяи или злоумышленники. Каждый байт, который они тебе шлют — потенциальная бомба. Проверяй ВСЁ. Тип, длину, формат, границы. Есть же библиотеки, go-playground/validator там, используй, не выёбывайся.

И конечно, Rate Limiting. Чтобы какой-нибудь ушлёпок не решил положить твой сервис, отправляя запросы как из пулемёта. «Ты с одного IP больше 100 запросов в минуту? Отдохни, дружок, подожди».

Вот тебе пример, как на Go можно через middleware JWT проверять и юзера в контекст пихать:

// AuthMiddleware проверяет JWT и передает ID пользователя в контекст запроса.
func AuthMiddleware(next http.Handler) http.Handler {
    return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        // Секретный ключ должен храниться в переменных окружения, а не в коде!
        jwtSecret := os.Getenv("JWT_SECRET_KEY")

        authHeader := r.Header.Get("Authorization")
        if authHeader == "" {
            http.Error(w, "Missing authorization header", http.StatusUnauthorized)
            return
        }

        // Токен обычно передается в формате "Bearer <token>"
        tokenString := strings.TrimPrefix(authHeader, "Bearer ")

        token, err := jwt.Parse(tokenString, func(token *jwt.Token) (interface{}, error) {
            // Проверка метода подписи
            if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
                return nil, fmt.Errorf("unexpected signing method: %v", token.Header["alg"])
            }
            return []byte(jwtSecret), nil
        })

        if err != nil || !token.Valid {
            http.Error(w, "Unauthorized", http.StatusUnauthorized)
            return
        }

        // Извлекаем claims и передаем ID пользователя в следующий обработчик
        if claims, ok := token.Claims.(jwt.MapClaims); ok {
            userID := claims["user_id"].(string) // или другой тип
            ctx := context.WithValue(r.Context(), "userID", userID)
            next.ServeHTTP(w, r.WithContext(ctx))
        } else {
            http.Error(w, "Unauthorized", http.StatusUnauthorized)
        }
    })
}

Ну и по мелочи:

• CORS — настрой, кто с каких сайтов может к тебе стучаться. Чтобы не получилось, что твой API дербанит любой левый сайт из интернета.
• Логирование — пиши всё, что происходит. Кто приходил, что хотел. Потом, когда всё ебнется, будет что посмотреть.
• Зависимости — регулярно обновляй свои библиотеки. В старых версиях могут быть дыры, о которых все уже знают, кроме тебя. Не будь тем самым лохом, которого взломали через уязвимость трёхлетней давности.

Вот и вся философия. Не доверяй никому, проверяй всё, ограничивай везде, где можно. Паранойя — наше всё.