ASP.NET Core WebAPI中使用JWT Bearer认证和授权
1. 什么是JWT?
JWT是一种用于双方之间传递安全信息的简洁的、URL安全的表述性声明规范。JWT作为一个开放的标准（RFC 7519），定义了一种简洁的，自包含的方法用于通信双方之间以Json对象的形式安全的传递信息。因为数字签名的存在，这些信息是可信的，JWT可以使用HMAC算法或者是RSA的公私秘钥对进行签名。简洁(Compact): 可以通过URL，POST参数或者在HTTP header发送，因为数据量小，传输速度也很快 自包含(Self-contained)：负载中包含了所有用户所需要的信息，避免了多次查询数据库。
2. JWT 的应用场景是什么？
身份认证在这种场景下，一旦用户完成了登陆，在接下来的每个请求中包含JWT，可以用来验证用户身份以及对路由，服务和资源的访问权限进行验证。由于它的开销非常小，可以轻松的在不同域名的系统中传递，所有目前在单点登录（SSO）中比较广泛的使用了该技术。 信息交换在通信的双方之间使用JWT对数据进行编码是一种非常安全的方式，由于它的信息是经过签名的，可以确保发送者发送的信息是没有经过伪造的
3. JWT的结构
JWT包含了使用.分隔的三部分： Header 头部 Payload 负载 Signature 签名
其结构看起来是这样的Header.Payload.Signature
Header
在header中通常包含了两部分：token类型和采用的加密算法。{ "alg": "HS256", "typ": "JWT"} 接下来对这部分内容使用 Base64Url 编码组成了JWT结构的第一部分。
Payload
Token的第二部分是负载，它包含了claim， Claim是一些实体（通常指的用户）的状态和额外的元数据，有三种类型的claim：reserved, public 和 private.Reserved claims: 这些claim是JWT预先定义的，在JWT中并不会强制使用它们，而是推荐使用，常用的有 iss（签发者）,exp（过期时间戳）, sub（面向的用户）, aud（接收方）, iat（签发时间）。 Public claims：根据需要定义自己的字段，注意应该避免冲突 Private claims：这些是自定义的字段，可以用来在双方之间交换信息 负载使用的例子：{ "sub": "1234567890", "name": "John Doe", "admin": true} 上述的负载需要经过Base64Url编码后作为JWT结构的第二部分。
Signature
创建签名需要使用编码后的header和payload以及一个秘钥，使用header中指定签名算法进行签名。例如如果希望使用HMAC SHA256算法，那么签名应该使用下列方式创建： HMACSHA256( base64UrlEncode(header) + "." + base64UrlEncode(payload), secret) 签名用于验证消息的发送者以及消息是没有经过篡改的。 完整的JWT 完整的JWT格式的输出是以. 分隔的三段Base64编码，与SAML等基于XML的标准相比，JWT在HTTP和HTML环境中更容易传递。 下列的JWT展示了一个完整的JWT格式，它拼接了之前的Header， Payload以及秘钥签名：
4. 如何使用JWT？
在身份鉴定的实现中，传统方法是在服务端存储一个session，给客户端返回一个cookie，而使用JWT之后，当用户使用它的认证信息登陆系统之后，会返回给用户一个JWT，用户只需要本地保存该token（通常使用local storage，也可以使用cookie）即可。 当用户希望访问一个受保护的路由或者资源的时候，通常应该在Authorization头部使用Bearer模式添加JWT，其内容看起来是下面这样：Authorization: Bearer <token>
因为用户的状态在服务端的内存中是不存储的，所以这是一种无状态的认证机制。服务端的保护路由将会检查请求头Authorization中的JWT信息，如果合法，则允许用户的行为。由于JWT是自包含的，因此减少了需要查询数据库的需要。 JWT的这些特性使得我们可以完全依赖其无状态的特性提供数据API服务，甚至是创建一个下载流服务。因为JWT并不使用Cookie的，所以你可以使用任何域名提供你的API服务而不需要担心跨域资源共享问题（CORS）。 下面的序列图展示了该过程：
5. 为什么要使用JWT？
相比XML格式，JSON更加简洁，编码之后更小，这使得JWT比SAML更加简洁，更加适合在HTML和HTTP环境中传递。 在安全性方面，SWT只能够使用HMAC算法和共享的对称秘钥进行签名，而JWT和SAML token则可以使用X.509认证的公私秘钥对进行签名。与简单的JSON相比，XML和XML数字签名会引入复杂的安全漏洞。 因为JSON可以直接映射为对象，在大多数编程语言中都提供了JSON解析器，而XML则没有这么自然的文档-对象映射关系，这就使得使用JWT比SAML更方便
6. 在ASP.NET Core WebAPI 中应用
安装JWT依赖包
接下来我们需要新建一个文件夹Models，在文件夹下面新建一个类JwtSettings.cs
public class JwtSetting
{
/// <summary>
/// 颁发者
/// </summary>
public string Issuer { get; set; }
/// <summary>
/// 接收者
/// </summary>
public string Audience { get; set; }
/// <summary>
/// 令牌密码
/// </summary>
public string SecurityKey { get; set; }
/// <summary>
/// 过期时间
/// </summary>
public long ExpireSeconds { get; set; }
/// <summary>
/// 签名
/// </summary>
public SigningCredentials Credentials
{
get
{
var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(SecurityKey));
return new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
}
}
}
然后我们需要在appsettings.json中配置jwt参数的值 【注意】 SecretKey必须大于16个,是大于，不是大于等于
{
"Logging": {
"LogLevel": {
"Default": "Warning"
}
},
"AllowedHosts": "*","JwtSetting": {
"SecurityKey": "MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDI2a2EJ7m872v0afyoSDJT2o1+SitIeJSWtLJU8/Wz2m7gStexajkeD+Lka6DSTy8gt9UwfgVQo6uKjVLG5Ex7PiGOODVqAEghBuS7JzIYU5RvI543nNDAPfnJsas96mSA7L/mD7RTE2drj6hf3oZjJpMPZUQI/B1Qjb5H3K3PNwIDAQAB", // 密钥
"Issuer": "http://localhost:5000", // 颁发者
"Audience": "http://localhost:5000" // 接收者
}
}
Startup注入服务( app.UseAuthentication();需要放在app.UseMvc();前面 )
public IServiceProvider ConfigureServices(IServiceCollection services)
{
services.Configure<FormOptions>(x => x.MultipartBodyLengthLimit = 1073741822);
services.AddMvc(opt =>
{
opt.Filters.Add(new ProducesAttribute("application/json"));
});
services.Configure<FormOptions>(x =>
{
x.ValueLengthLimit = int.MaxValue;
x.MultipartBodyLengthLimit = int.MaxValue; // In case of multipart
});
services.Configure<JwtSetting>(Configuration.GetSection("JwtSetting"));
//HttpResponseMessage结构
services.AddMvc().AddWebApiConventions();
services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_2);
services.AddMvcCore().AddApiExplorer();
//services.AddMvc().AddJsonOptions(options =>
//{
// 处理返回结构属性首字母不被小写
// 对 JSON 数据使用混合大小写。跟属性名同样的大小.输出
// options.SerializerSettings.ContractResolver = new DefaultContractResolver();
//});
services.AddCors(options => options.AddPolicy("CorsSample", p =>
p.WithOrigins("*")
.AllowAnyOrigin()
.AllowAnyMethod()
.AllowAnyHeader()
.AllowCredentials()
));
#region Jwt
var jwtSetting = new JwtSetting();
Configuration.Bind("JwtSetting", jwtSetting);
//添加策略鉴权模式
services.AddAuthorization()
.AddAuthentication(x =>
{
x.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
x.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
x.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(option =>
{
option.TokenValidationParameters = new TokenValidationParameters
{
ValidateLifetime = true,//是否验证失效时间
ClockSkew = TimeSpan.FromSeconds(30),
ValidateAudience = true,//是否验证Audience
//ValidAudience = Const.GetValidudience(),//Audience
//这里采用动态验证的方式，在重新登陆时，刷新token，旧token就强制失效了
AudienceValidator = (m, n, z) =>
{
return m != null && m.FirstOrDefault().Equals(jwtSetting.Audience);
},
ValidateIssuer = true,//是否验证Issuer
ValidIssuer = jwtSetting.Issuer,//Issuer，这两项和前面签发jwt的设置一致
ValidateIssuerSigningKey = true,//是否验证SecurityKey
IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(jwtSetting.SecurityKey))//拿到SecurityKey
};
});
#endregion
}
public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
app.UseAuthentication();
if (env.IsDevelopment())
{
app.UseDeveloperExceptionPage();
}
else
{
// The default HSTS value is 30 days. You may want to change this for production scenarios, see https://aka.ms/aspnetcore-hsts.
app.UseHsts();
}
app.UseStaticFiles(new StaticFileOptions
{
ServeUnknownFileTypes = true
});
//配置Cors
app.UseCors("CorsSample");
//app.UseHttpsRedirection();
app.UseMvc();
}
新建用户实体类
public class UserEntity
{
/// <summary>
/// ID
/// </summary>
public int id { get; set; }
/// <summary>
/// 姓名
/// </summary>
public string username { get; set; }
/// <summary>
/// 密码
/// </summary>
public string password { get; set; }
}
接下来在Controllers文件夹下新建控制器AuthController.cs,进行编写获取Token的接口，完整代码如下
/// <summary>
/// 权限(获取Token)
/// </summary>
[Route("api/[controller]/[action]")]
public class AuthController : ApiController
{
private readonly ITokenService _tokenService;
/// <summary>
///
/// </summary>
public AuthController(ITokenService tokenService)
{
_tokenService = tokenService;
}
/// <summary>
/// 获取Token
/// </summary>
/// <param name="user"></param>
/// <returns></returns>
[HttpPost]
public MethodResult GetToken(UserEntity user)
{
var token = _tokenService.GetToken(user);
var response = new
{
Status = true,
Token = token,
Type = "Bearer"
};
return new MethodResult(response);
}
}
public class TokenService : ITokenService
{
private readonly JwtSetting _jwtSetting;
public TokenService(IOptions<JwtSetting> option)
{
_jwtSetting = option.Value;
}
public string GetToken(UserEntity user)
{
//创建用户身份标识,这里可以随意加入自定义的参数，key可以自己随便起
var claims = new[]
{
new Claim(JwtRegisteredClaimNames.Nbf,$"{new DateTimeOffset(DateTime.Now).ToUnixTimeSeconds()}") ,
new Claim (JwtRegisteredClaimNames.Exp,$"{new DateTimeOffset(DateTime.Now.AddMinutes(30)).ToUnixTimeSeconds()}"),
new Claim(ClaimTypes.NameIdentifier, user.username.ToString()),
new Claim("Id", user.id.ToString()),
new Claim("Name", user.username.ToString())
};
//sign the token using a secret key.This secret will be shared between your API and anything that needs to check that the token is legit.
var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_jwtSetting.SecurityKey));
var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
//.NET Core’s JwtSecurityToken class takes on the heavy lifting and actually creates the token.
var token = new JwtSecurityToken(
//颁发者
issuer: _jwtSetting.Issuer,
//接收者
audience: _jwtSetting.Audience,
//过期时间
expires: DateTime.Now.AddMinutes(30),
//签名证书
signingCredentials: creds,
//自定义参数
claims: claims
);
var jwtToken = new JwtSecurityTokenHandler().WriteToken(token);
return jwtToken;
}
}
接下来就开始做验证！
PostMan测试获取token
接下来做权限校验
在需要授权的api上新增 [Authorize] 标记
/// <summary>
/// 博客
/// </summary>
[Route("api/[controller]/[action]")]
[ApiController]
public class BlogController : ControllerBase
{
private readonly IBlogService _blogService;
/// <summary>
/// 构造函数
/// </summary>
/// <param name="blogService"></param>
public BlogController(IBlogService blogService)
{
_blogService = blogService;
}
/// <summary>
/// 获取博客列表
/// </summary>
/// <param name="id">ID</param>
/// <returns></returns>
[HttpGet]
[Authorize]
public MethodResult GetAllBlogs(int? id = null)
{
var userId = this.CurUserID();
return new MethodResult(_blogService.GetAllBlogs(id));
}
}
封装获取token自定义信息
public static class CurUser
{
/// <summary>
/// 获取当前登录用户的用户编号
/// </summary>
public static int CurUserID(this ControllerBase controller)
{
var auth = controller.HttpContext.AuthenticateAsync().Result.Principal.Claims;
var userId = auth.FirstOrDefault(t => t.Type.Equals("Id"))?.Value;
return userId == null ? 0 : Convert.ToInt32(userId);
}
/// <summary>
/// 获取当前登录用户的姓名
/// </summary>
public static string CurUserName(this ControllerBase controller)
{
var auth = controller.HttpContext.AuthenticateAsync().Result.Principal.Claims;
var userName = auth.FirstOrDefault(t => t.Type.Equals("Name"))?.Value;
return userName == null ? "" : userName;
}
}
接下来进行PostMan测试
jwt token解析：https://jwt.io/
