ASP.NET Web API 2系列(四)：基于JWT的token身份认证方案

1.引言

通过前边的系列教程，我们可以掌握WebAPI的初步运用，但是此时的API接口任何人都可以访问，这显然不是我们想要的，这时就需要控制对它的访问，也就是WebAPI的权限验证。验证方式非常多，本文就重点介绍一种常用的验证方式：基于JWT的token身份认证方案。

2.前期回顾

Web API系列(一)：初识API及手动搭建基本框架

Web API系列(二)：灵活多样的路由配置

Web API系列(三)：添加接口详细说明及测试

3.认识JWT

JWT是 JSON Web Token 的缩写，是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。

3.1 JWT工作流程

这里我们通过一张图了解它的工作流程。

从上图中我们可以看出它是基于Token的身份认证，具体流程：客户端携带用户名和密码请求访问 - 服务器校验用户凭据 - 应用提供一个token给客户端 - 客户端存储token，并且在随后的每一次请求中都带着它 -服务器校验token并返回数据。

3.2JWT结构

JSON Web Token由三部分组成，它们之间用圆点(.)连接。这三部分分别是：

Header：头部，它有token的类型（“JWT”）和算法名称（比如：HMAC SHA256或者RSA等等）两部分组成；
Payload：荷载，它包含声明（要求）。声明是关于实体(通常是用户)和其他数据的声明；
Signature：签名，目的是用来验证头部和载荷是否被非法篡改。

通过下图，我们可以直观的看到JWT的组成。

它本质上是一个独立的身份验证令牌，可以包含用户标识、用户角色和权限等信息，以及您可以存储任何其他信息（自包含）。任何人都可以轻松读取和解析，并使用密钥来验证真实性。

4.具体实现

上文介绍了JWT的原理，读者简单了解即可，这里我们通过具体代码来实现。

4.1安装JWT包

通过NuGget管理工具安装JWT包，如下图

4.2添加LoginRequest、AuthInfo和HttpResult三个实体类

在MyWebAPI.Entities中添加相应类

LoginRequest实体

public class LoginRequest
{
    public string UserId { get; set; }
    public string Password { get; set; }
}

AuthInfo实体类

public class AuthInfo
{
    public string UserId { get; set; }
    public DateTime Expires { get; set; }
}

HttpResul实体类

public class HttpResult
{
    public bool Success { get; set; }
    public dynamic Data { get; set; }
    public string Message { get; set; }
}

4.3添加SystemController，并添加Login登录方法

具体代码如下：

[RoutePrefix("api/System")]
public class SystemController : ApiController
{
    [HttpPost, Route("Login")]
    public HttpResult Login([FromBody] LoginRequest loginRequest)
    {
        if (loginRequest == null) return new HttpResult() { Success = false, Message = "登录信息为空！" };

        #region 通过数据库判断登录信息是否正确（这里简化判断）

        if (loginRequest.UserId != "admin" || loginRequest.Password != "admin")
        {
            return new HttpResult() { Success = false, Message = "用户名和密码不正确！" };
        }
        #endregion
        AuthInfo authInfo = new AuthInfo()
        {
            UserId = loginRequest.UserId,
            Expires = DateTime.Now.AddDays(1)
        };
        const string secretKey = "matanzhang";//口令加密秘钥（应该写到配置文件中）
        byte[] key = Encoding.UTF8.GetBytes(secretKey);
        IJwtAlgorithm algorithm = new HMACSHA256Algorithm();//加密方式
        IJsonSerializer serializer = new JsonNetSerializer();//序列化Json
        IBase64UrlEncoder urlEncoder = new JwtBase64UrlEncoder();//base64加解密
        IJwtEncoder encoder = new JwtEncoder(algorithm, serializer, urlEncoder);//JWT编码
        var token = encoder.Encode(authInfo, key);//生成令牌

        return new HttpResult() { Success = true, Data = token,Message = "登录成功！"};
    }
}

4.4添加API过滤器ApiAuthorizeAttribute

具体代码如下：

public class ApiAuthorizeAttribute: AuthorizeAttribute
{
    protected override bool IsAuthorized(HttpActionContext actionContext)
    {
        try
        {
            var authHeader = from t in actionContext.Request.Headers where t.Key == "auth" select t.Value.FirstOrDefault();
            var enumerable = authHeader as string[] ?? authHeader.ToArray();
            string token = enumerable.FirstOrDefault();
            if (string.IsNullOrEmpty(enumerable.FirstOrDefault())) return false;
            const string secretKey = "matanzhang";//口令加密秘钥（应该写到配置文件中）
            byte[] key = Encoding.UTF8.GetBytes(secretKey);
            IJsonSerializer serializer = new JsonNetSerializer();
            IDateTimeProvider provider = new UtcDateTimeProvider();
            IJwtValidator validator = new JwtValidator(serializer, provider);
            IBase64UrlEncoder urlEncoder = new JwtBase64UrlEncoder();
            IJwtAlgorithm algorithm = new HMACSHA256Algorithm();
            IJwtDecoder decoder = new JwtDecoder(serializer, validator, urlEncoder, algorithm);
            //解密
            var authInfo = decoder.DecodeToObject<AuthInfo>(token, key, verify: true);
            if (authInfo != null)
            {
                //判断口令过期时间
                if (authInfo.Expires < DateTime.Now)
                {
                    return false;
                }
                actionContext.RequestContext.RouteData.Values.Add("auth", authInfo);
                return true;
            }
        }
        catch (Exception e)
        {

        }
        return false;
    }
    /// <summary>
    /// 处理授权失败的请求
    /// </summary>
    /// <param name="actionContext"></param>
    protected override void HandleUnauthorizedRequest(HttpActionContext actionContext)
    {
        var erModel = new HttpResult()
        {
            Success = false,
            Message = "身份认证不正确！"
        };
        actionContext.Response = actionContext.Request.CreateResponse(HttpStatusCode.OK, erModel, "application/json");
    }
}

4.5在StudentController中添加过滤属性ApiAuthorize

具体如下：

[RoutePrefix("api/Student"),ApiAuthorize]
public class StudentController : ApiController
{
    private static readonly List<Student> StudentList = new List<Student>()
    {
        new Student() {Id = "001", Name = "张三", Sex = "男", Age = 19, Dept = "软件学院"},
        new Student() {Id = "002", Name = "李丽", Sex = "女", Age = 19, Dept = "资环学院"}
    };

    [HttpGet]
    public IEnumerable<Student> Get()
    {
        return StudentList;
    }

    [HttpGet, Route("GetByDept/{dept}")]
    public IEnumerable<Student> GetByDept(string dept)
    {
        List<Student> tempList = StudentList.Where(p => p.Dept == dept).ToList();
        return tempList;
    }
    [HttpGet]
    public Student Get(string id)
    {
        List<Student> tempList = StudentList.Where(p => p.Id == id).ToList();
        return tempList.Count == 1 ? tempList.First() : null;
    }

    [HttpPost]
    public bool Post([FromBody] Student student)
    {
        if (student == null) return false;
        if (StudentList.Where(p => p.Id == student.Id).ToList().Count > 0) return false;
        StudentList.Add(student);
        return true;
    }

    [HttpPut]
    public bool Put(string id, [FromBody] Student student)
    {
        if (student == null) return false;
        List<Student> tempList = StudentList.Where(p => p.Id == id).ToList();
        if (tempList.Count == 0) return false;
        Student originStudent = tempList[0];
        originStudent.Name = student.Name;
        originStudent.Sex = student.Sex;
        originStudent.Age = student.Age;
        originStudent.Dept = student.Dept;
        return true;
    }

    [HttpDelete]
    public bool Delete(string id)
    {
        List<Student> tempList = StudentList.Where(p => p.Id == id).ToList();
        if (tempList.Count == 0) return false;
        StudentList.Remove(tempList[0]);
        return true;
    }
}

依照步骤添加相关代码，此时就完成了JWT验证的添加。

5.通过PostMan测试程序

运行VS，查看相关API接口，如下图所示。

登录前，测试Get：http://localhost:44321/api/Student接口，返回结果如下图所示。

登录后，测试Get：http://localhost:44321/api/Student接口，返回结果如下图所示。

在APIController上添加权限验证后，访问相应接口时，需要在header里面添加auth属性（token），这样就完成了身份认证。

6.总结

本文介绍了JWT的原理，然后通过代码完成了相应实例教程，博文中的源代码可以通过笔者GitHUb获取。博文写作不易希望多多支持，后续会更新更多内容，感兴趣的朋友可以加关注，欢迎留言交流！也可以通过微信公众搜索“码探长”，联系笔者！

扫描添加下方的微信公众号，获取更多福利和干货！也可通公众号（码探长）联系探长，期待与你相遇！！！

posted @ 2020-09-23 08:16 码探长阅读(7351) 评论(5) 编辑收藏举报

刷新页面返回顶部

码探长

学习在于积累，滴水可以石穿！学而不思则罔，思而不学则殆！

ASP.NET Web API 2系列(四)：基于JWT的token身份认证方案

1.引言

2.前期回顾

3.认识JWT

3.1 JWT工作流程

3.2JWT结构

4.具体实现

4.1安装JWT包

4.2添加LoginRequest、AuthInfo和HttpResult三个实体类

4.3添加SystemController，并添加Login登录方法

4.4添加API过滤器ApiAuthorizeAttribute

4.5在StudentController中添加过滤属性ApiAuthorize

5.通过PostMan测试程序

6.总结

公告

码探长

学习在于积累，滴水可以石穿！ 学而不思则罔，思而不学则殆！

ASP.NET Web API 2系列(四)：基于JWT的token身份认证方案

1.引言

2.前期回顾

3.认识JWT

3.1 JWT工作流程

3.2JWT结构

4.具体实现

4.1安装JWT包

4.2添加LoginRequest、AuthInfo和HttpResult三个实体类

4.3添加SystemController，并添加Login登录方法

4.4添加API过滤器ApiAuthorizeAttribute

4.5在StudentController中添加过滤属性ApiAuthorize

5.通过PostMan测试程序

6.总结

公告

学习在于积累，滴水可以石穿！学而不思则罔，思而不学则殆！