.NET Core 3.1 Swagger 使用 JWT

配置 Startup

添加jwt验证：

public void ConfigureServices(IServiceCollection services)
{
    //注册 Swagger 服务
    services.AddSwaggerGen(options =>
    {
        options.SwaggerDoc("v1", new OpenApiInfo { Title = "HimCloud API", Version = "v1" });
        //获取xml文件名
        var xmlFile = $"{Assembly.GetExecutingAssembly().GetName().Name}.xml";
        //获取xml文件路径
        var xmlPath = Path.Combine(AppContext.BaseDirectory, xmlFile);
        // 添加控制器层注释，true表示显示控制器注释
        options.IncludeXmlComments(xmlPath, true);

        #region swagger 用 Jwt验证
        //开启权限小锁
        options.OperationFilter<AddResponseHeadersFilter>();
        options.OperationFilter<AppendAuthorizeToSummaryOperationFilter>();

        //在header中添加token，传递到后台
        options.OperationFilter<SecurityRequirementsOperationFilter>();
        options.AddSecurityDefinition("oauth2", new OpenApiSecurityScheme
        {
            Description = "JWT授权(数据将在请求头中进行传递)直接在下面框中输入Bearer {token}(注意两者之间是一个空格) \"",
            Name = "Authorization",//jwt默认的参数名称
            In = ParameterLocation.Header,//jwt默认存放Authorization信息的位置(请求头中)
            Type = SecuritySchemeType.ApiKey
        });
        #endregion
    });
    //添加jwt验证：
    services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddJwtBearer(options => {
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = true,//是否验证Issuer
                ValidateAudience = true,//是否验证Audience
                ValidateLifetime = true,//是否验证失效时间
                ValidateIssuerSigningKey = true,//是否验证SecurityKey
                ValidAudience = "AESCR",//Audience
                ValidIssuer = "AESCR",//Issuer，这两项和后面签发jwt的设置一致
                ClockSkew = TimeSpan.Zero, // // 默认允许 300s  的时间偏移量，设置为0
                IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["JWT:SecurityKey"]))//拿到SecurityKey
            };
        });
    services.AddControllers();
}

使用

1.获取 token

2.复制 返回值的 token 点击 页面上的 Authorize 填写 token （注意：Bearer {token} token 前要加 Bearer 后面要有个空格 为啥要加 请看后面）

3.添加完成。后面需要验证的接口直接使用就可以了 自动会在 head 添加 token的

Bearer认证

Bearer验证中的凭证称为BEARER_TOKEN，或者是access_token，它的颁发和验证完全由我们自己的应用程序来控制，而不依赖于系统和Web服务器，Bearer验证的标准请求方式如下：

Authorization: Bearer [BEARER_TOKEN] 

那么使用Bearer验证有什么好处呢？

1. CORS: cookies + CORS 并不能跨不同的域名。而Bearer验证在任何域名下都可以使用HTTP header头部来传输用户信息。
2. 对移动端友好: 当你在一个原生平台(iOS, Android, WindowsPhone等)时，使用Cookie验证并不是一个好主意，因为你得和Cookie容器打交道，而使用Bearer验证则简单的多。
3. CSRF: 因为Bearer验证不再依赖于cookies, 也就避免了跨站请求攻击。
4. 标准：在Cookie认证中，用户未登录时，返回一个302到登录页面，这在非浏览器情况下很难处理，而Bearer验证则返回的是标准的401 challenge。