בקאנד על Go Fiber: ביצועים ואימות JWT

Backend על Go Fiber עם אימות JWT — מחסנית טיפוסית כאשר שירות Node.js מגיע למגבלות, והמעבר ל-Go נראה מורכב. Fiber מספק גשר: API מוכר של Express אבל עם ביצועים של fasthttp. אנחנו משתמשים ב-Fiber לפרויקטים בעומס גבוה כבר יותר מ-5 שנים ומוכנים לחלוק ניסיון מ-20+ פרויקטים חיים.

מקרה אחד — חנות מסחר אלקטרוני עם עומס שיא של 10,000 RPS. המעבר מ-Express ל-Fiber הפחית את זמן התגובה ב-40% ואת צריכת הזיכרון ב-30%. צוות הפיתוח של Node.js שלט ב-Fiber תוך שבוע בזכות התחביר המוכר. החיסכון בעלויות הענן הסתכם בכ-$300–500 לחודש בשל שימוש נמוך יותר בזיכרון, והמעבר המלא החזיר את ההשקעה תוך 3 חודשים עם תקציב של $12,000.

למה Fiber מהיר יותר מ-net/http

Fiber היא מסגרת Go בהשראת Express.js. אם מפתח מגיע מ-Node.js, ה-API ירגיש מוכר. מתחת למכסה המנוע, היא משתמשת ב-fasthttp במקום net/http הסטנדרטי, ומספקת שיפור של ~פי 2 במבחני HTTP סינתטיים. בפרויקטים אמיתיים עם PostgreSQL ו-Redis, ההבדל קטן יותר, אבל Fiber נשארת אחת ממסגרות ה-Go המהירות ביותר. לפי מבחני הביצועים הרשמיים של Fiber, היא מטפלת ב-~400,000 בקשות/שנייה לעומת ~200,000 עבור Gin. יישמנו אותה ב-10+ פרויקטים מסחריים וצפינו בהפחתה של עד 30% בצריכת הזיכרון.

ניואנס חשוב: fasthttp אינה תואמת ל-middleware של net/http.这意味着 חלק מהאקוסיסטם של Go (למשל, middleware סטנדרטי של OpenTelemetry עבור net/http) לא עובד ישירות — יש צורך במתאמים או בחבילות ייעודיות ל-Fiber.

יישום אימות JWT ב-Fiber

שלב 1: אתחול היישום

package main

import (
	"log"
	"os"
	"github.com/gofiber/fiber/v2"
	"github.com/gofiber/fiber/v2/middleware/compress"
	"github.com/gofiber/fiber/v2/middleware/cors"
	"github.com/gofiber/fiber/v2/middleware/helmet"
	"github.com/gofiber/fiber/v2/middleware/logger"
	"github.com/gofiber/fiber/v2/middleware/recover"
	"github.com/gofiber/fiber/v2/middleware/limiter"
)

func main() {
	app := fiber.New(fiber.Config{
		AppName: "MyAPI v1.0",
		ReadTimeout: 10 * time.Second,
		WriteTimeout: 10 * time.Second,
		IdleTimeout: 120 * time.Second,
		BodyLimit: 4 * 1024 * 1024, // 4MB
		ErrorHandler: customErrorHandler,
		DisableStartupMessage: true,
	})

	app.Use(recover.New())
	app.Use(helmet.New())
	app.Use(compress.New(compress.Config{Level: compress.LevelBestSpeed}))
	app.Use(cors.New(cors.Config{
		AllowOrigins: os.Getenv("ALLOWED_ORIGINS"),
		AllowCredentials: true,
		AllowHeaders: "Origin, Content-Type, Authorization",
	}))
	app.Use(logger.New(logger.Config{
		Format: "${time} | ${status} | ${latency} | ${method} ${path}\n",
	}))
	app.Use(limiter.New(limiter.Config{Max: 100, Expiration: 60 * time.Second}))

	setupRoutes(app)
	log.Fatal(app.Listen(":8080"))
}

שלב 2: ניתוב וקיבוץ

func setupRoutes(app *fiber.App) {
    api := app.Group("/api/v1")
    // Публичные
    api.Post("/auth/login", authHandler.Login)
    api.Post("/auth/refresh", authHandler.Refresh)
    // С JWT middleware
    api.Get("/products", productHandler.List)
    api.Get("/products/:id", productHandler.Get)
    protected := api.Group("/", jwtMiddleware)
    protected.Get("/profile", authHandler.Profile)
    admin := api.Group("/admin", jwtMiddleware, roleMiddleware("admin"))
    admin.Post("/products", productHandler.Create)
    admin.Put("/products/:id", productHandler.Update)
    admin.Delete("/products/:id", productHandler.Delete)
}

שלב 3: Handlers

אנחנו שומרים על handlers דקים: BodyParser לתוך struct קלט עם תגי package main import ( "log" "os" "github.com/gofiber/fiber/v2" "github.com/gofiber/fiber/v2/middleware/compress" "github.com/gofiber/fiber/v2/middleware/cors" "github.com/gofiber/fiber/v2/middleware/helmet" "github.com/gofiber/fiber/v2/middleware/logger" "github.com/gofiber/fiber/v2/middleware/recover" "github.com/gofiber/fiber/v2/middleware/limiter" ) func main() { app := fiber.New(fiber.Config{ AppName: "MyAPI v1.0", ReadTimeout: 10 * time.Second, WriteTimeout: 10 * time.Second, IdleTimeout: 120 * time.Second, BodyLimit: 4 * 1024 * 1024, // 4MB ErrorHandler: customErrorHandler, DisableStartupMessage: true, }) app.Use(recover.New()) app.Use(helmet.New()) app.Use(compress.New(compress.Config{Level: compress.LevelBestSpeed})) app.Use(cors.New(cors.Config{ AllowOrigins: os.Getenv("ALLOWED_ORIGINS"), AllowCredentials: true, AllowHeaders: "Origin, Content-Type, Authorization", })) app.Use(logger.New(logger.Config{ Format: "${time} | ${status} | ${latency} | ${method} ${path}\n", })) app.Use(limiter.New(limiter.Config{Max: 100, Expiration: 60 * time.Second})) setupRoutes(app) log.Fatal(app.Listen(":8080")) } , func setupRoutes(app *fiber.App) { api := app.Group("/api/v1") // Публичные api.Post("/auth/login", authHandler.Login) api.Post("/auth/refresh", authHandler.Refresh) // С JWT middleware api.Get("/products", productHandler.List) api.Get("/products/:id", productHandler.Get) protected := api.Group("/", jwtMiddleware) protected.Get("/profile", authHandler.Profile) admin := api.Group("/admin", jwtMiddleware, roleMiddleware("admin")) admin.Post("/products", productHandler.Create) admin.Put("/products/:id", productHandler.Update) admin.Delete("/products/:id", productHandler.Delete) } לאימות, קריאת שירות, מיפוי שגיאות דומיין לקודי HTTP. פגינציה — באמצעות validate ו-validator.Struct עם מגבלה עליונה של 100 רשומות לעמוד. התשובה נוצרת באמצעות c.QueryInt("page", 1) עם מפתחות c.QueryInt("limit", 20) ו-fiber.Map כך שהפרונטאנד מקבל פורמט אחיד. שגיאות אימות חוזרות עם סטטוס 422 ושדה data — מערך של 3–5 שדות לכל בקשה. כל handler הוא בערך 30–40 שורות קוד, מה שנוח לבדיקת קוד ולבדיקות טיפוסיות.

שלב 4: JWT Middleware

package middleware

import (
	"strings"

	"github.com/gofiber/fiber/v2"
	"github.com/golang-jwt/jwt/v5"
)

func JWTMiddleware(secret string) fiber.Handler {
	return func(c *fiber.Ctx) error {
		auth := c.Get("Authorization")
		if !strings.HasPrefix(auth, "Bearer ") {
			return fiber.ErrUnauthorized
		}

		token, err := jwt.Parse(auth[7:], func(t *jwt.Token) (interface{}, error) {
			if _, ok := t.Method.(*jwt.SigningMethodHMAC); !ok {
				return nil, fiber.ErrUnauthorized
			}
			return []byte(secret), nil
		})
		if err != nil || !token.Valid {
			return fiber.ErrUnauthorized
		}

		claims := token.Claims.(jwt.MapClaims)
		c.Locals("userID", int(claims["sub"].(float64)))
		c.Locals("role", claims["role"])

		return c.Next()
	}
}

מהן המגבלות של fasthttp?

pagination עושה שימוש חוזר באובייקטי בקשה/קונטקסט כדי להפחית לחץ על ה-GC. זה דורש זהירות: אסור ללכוד errors ב-goroutines ללא package middleware import ( "strings" "github.com/gofiber/fiber/v2" "github.com/golang-jwt/jwt/v5" ) func JWTMiddleware(secret string) fiber.Handler { return func(c *fiber.Ctx) error { auth := c.Get("Authorization") if !strings.HasPrefix(auth, "Bearer ") { return fiber.ErrUnauthorized } token, err := jwt.Parse(auth[7:], func(t *jwt.Token) (interface{}, error) { if _, ok := t.Method.(*jwt.SigningMethodHMAC); !ok { return nil, fiber.ErrUnauthorized } return []byte(secret), nil }) if err != nil || !token.Valid { return fiber.ErrUnauthorized } claims := token.Claims.(jwt.MapClaims) c.Locals("userID", int(claims["sub"].(float64))) c.Locals("role", claims["role"]) return c.Next() } } . כשמעבירים קונטקסט לפעולות אסינכרוניות:

func (h *Handler) AsyncProcess(c *fiber.Ctx) error {
	// НЕ делайте так — ctx будет переиспользован до завершения горутины
	// go func() {
	// 	h.svc.Process(c)
	// }()

	// Делайте копию
	cc := c.Copy()
	go func() {
		h.svc.ProcessAsync(context.Background(), cc.Body())
	}()
	return c.SendStatus(fiber.StatusAccepted)
}

app.ListenTLS(":443", "/path/to/cert.pem", "/path/to/key.pem") 

מה כלול בפיתוח

אנו מתעדים את סדר העבודה ב-SoW עם רשימת תוצרים:

1. עיצוב ארכיטקטורה: סכמת מסד נתונים ב-dbdiagram, מפרט OpenAPI 3.1, דיאגרמת שירות.
2. הקמת יישום Fiber: מחסנית middleware (CORS, logger, recover, limiter), הגדרת timeout.
3. יישום דומיין: handlers, שירותים, repositories עם pgx וטרנזקציות.
4. אימות: JWT access + refresh, מודל תפקידים, רשימה שחורה דרך Redis.
5. בדיקות ופריסה: יחידה + אינטגרציה (100+ מקרים), Dockerfile, CI/CD ב-GitHub Actions.

לוחות זמנים לפיתוח

API לאתר: 4–8 שבועות. Fiber מתאימה מאוד לצוותים עם רקע ב-Node.js שעוברים ל-Go, ולפרויקטים עם דרישות RPS קיצוניות. יש לנו ניסיון של 5+ שנים עם Go ואנו מבטיחים איכות קוד.

קבלו ייעוץ והערכה תוך יום אחד. צרו קשר כדי לדון בפרויקט שלכם.

בנוסף, אנו מכסים את שכבת ה-observability: חיבור OpenTelemetry דרך מתאמי Fiber, שליחת traces ל-Jaeger או Grafana Tempo, ייצוא metrics ל-Prometheus דרך fasthttp. עבור APIs בעומס גבוה, אנו מוסיפים pgxpool עם 25–50 חיבורים ו-pgbouncer במצב טרנזקציות לפני PostgreSQL — זה מתמודד עם פסגות של עד 15,000 RPS ללא פגיעה ב-p95. אנו מבנים לוגים באמצעות zerolog ב-JSON כך ש-Loki ו-ClickHouse יכולים לאינדקס אותם לפי 8–10 שדות. אנו כוללים גם graceful shutdown עם ניקוז של 30 שניות כדי למנוע מ-Kubernetes rollout לשבור חיבורים פתוחים. כל הפרטים הללו מתועדים ב-runbook של 15–20 עמודים שנשאר עם צוות הלקוח ומתעדכן במהלך תקופת התמיכה של 3 חודשים.