深入剖析ASP.NET Core中的身份验证与授权：构建安全可靠的Web应用

于 2024-08-23 13:14:45 发布
阅读量1.3k 收藏 16
点赞数 21
文章标签： asp.net 前端 后端
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43535970/article/details/141463309
版权

深入探讨ASP.NET Core中的身份验证与授权

在现代Web应用程序中，身份验证和授权是保护资源、管理用户访问的重要组成部分。ASP.NET Core 提供了强大的身份验证和授权机制，支持多种身份验证方案，并允许开发者灵活地控制用户的访问权限。在本文中，我们将深入探讨ASP.NET Core中身份验证与授权的核心概念，详细介绍其实现方式，并提供实际代码示例，以帮助你掌握如何在ASP.NET Core中处理这两项功能。

一、身份验证与授权的基本概念

  • 身份验证（Authentication） 是指确认用户身份的过程。ASP.NET Core 支持多种身份验证方案，如Cookie认证、JWT（JSON Web Token）认证、OAuth 2.0、OpenID Connect等。

  • 授权（Authorization） 是指控制用户对应用程序资源访问权限的过程。基于用户的身份，应用程序可以限制或允许访问特定的资源。ASP.NET Core 通过角色（Roles）、策略（Policies）、声明（Claims）等多种方式实现授权。

二、身份验证的实现
1. 使用Cookie认证

Cookie认证是ASP.NET Core中最常见的认证方式之一，通常用于传统的基于表单的身份验证。以下是如何在ASP.NET Core中实现Cookie认证的步骤：

  1. 安装必要的NuGet包：

    dotnet add package Microsoft.AspNetCore.Authentication.Cookies

  2. 配置身份验证中间件：
    在Startup.cs中，配置身份验证服务和中间件。

    public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
            .AddCookie(options =>
            {
                options.LoginPath = "/Account/Login";
                options.AccessDeniedPath = "/Account/AccessDenied";
            });
    services.AddControllersWithViews();
}

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    else
    {
        app.UseExceptionHandler("/Home/Error");
        app.UseHsts();
    }

    app.UseHttpsRedirection();
    app.UseStaticFiles();

    app.UseRouting();

    app.UseAuthentication();
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllerRoute(
            name: "default",
            pattern: "{controller=Home}/{action=Index}/{id?}");
    });
}

  3. 处理登录逻辑：
    在控制器中实现登录逻辑，验证用户的凭据并创建身份票据（ClaimsPrincipal）。

    public class AccountController : Controller
{
    [HttpGet]
    public IActionResult Login()
    {
        return View();
    }

    [HttpPost]
    public async Task<IActionResult> Login(LoginViewModel model)
    {
        if (ModelState.IsValid)
        {
            // 假设验证用户凭据成功
            var claims = new List<Claim>
            {
                new Claim(ClaimTypes.Name, model.Username),
                new Claim(ClaimTypes.Role, "Admin")
            };

            var claimsIdentity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);

            await HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, new ClaimsPrincipal(claimsIdentity));

            return RedirectToAction("Index", "Home");
        }

        return View(model);
    }

    [HttpPost]
    public async Task<IActionResult> Logout()
    {
        await HttpContext.SignOutAsync(CookieAuthenticationDefaults.AuthenticationScheme);
        return RedirectToAction("Login", "Account");
    }
}
2. 使用JWT认证

JWT认证通常用于API开发，特别是需要支持无状态的跨平台应用程序。以下是如何在ASP.NET Core中实现JWT认证的步骤：

  1. 安装必要的NuGet包：

    dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer

  2. 配置JWT身份验证：
    在Startup.cs中配置JWT身份验证服务和中间件。

    public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
            .AddJwtBearer(options =>
            {
                options.TokenValidationParameters = new TokenValidationParameters
                {
                    ValidateIssuer = true,
                    ValidateAudience = true,
                    ValidateLifetime = true,
                    ValidateIssuerSigningKey = true,
                    ValidIssuer = "yourissuer",
                    ValidAudience = "youraudience",
                    IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("yoursecretkey"))
                };
            });
    services.AddControllers();
}

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    app.UseRouting();

    app.UseAuthentication();
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

  3. 生成JWT令牌：
    在控制器中实现JWT令牌的生成逻辑。

    public class AuthController : ControllerBase
{
    [HttpPost("token")]
    public IActionResult GenerateToken([FromBody] LoginViewModel model)
    {
        if (ModelState.IsValid)
        {
            // 假设用户验证通过
            var claims = new[]
            {
                new Claim(JwtRegisteredClaimNames.Sub, model.Username),
                new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
            };

            var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("yoursecretkey"));
            var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

            var token = new JwtSecurityToken(
                issuer: "yourissuer",
                audience: "youraudience",
                claims: claims,
                expires: DateTime.Now.AddMinutes(30),
                signingCredentials: creds);

            return Ok(new { token = new JwtSecurityTokenHandler().WriteToken(token) });
        }

        return BadRequest();
    }
}
三、授权的实现
1. 基于角色的授权

基于角色的授权是一种简单的授权机制。你可以在控制器或操作方法上使用[Authorize]特性来限制特定角色的用户访问。

[Authorize(Roles = "Admin")]
public IActionResult AdminPanel()
{
    return View();
}
2. 基于策略的授权

策略授权提供了更灵活的授权控制。你可以定义复杂的授权规则，并在控制器或操作方法中使用这些规则。

  1. 定义策略：
    在Startup.cs中定义授权策略。

    public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthorization(options =>
    {
        options.AddPolicy("RequireAdmin", policy => policy.RequireRole("Admin"));
        options.AddPolicy("Over18", policy => policy.RequireClaim(ClaimTypes.DateOfBirth, d => 
        {
            return DateTime.TryParse(d, out var date) && date.AddYears(18) <= DateTime.Today;
        }));
    });

    services.AddControllersWithViews();
}

  2. 使用策略授权：
    在控制器或操作方法中使用定义好的策略。

    [Authorize(Policy = "RequireAdmin")]
public IActionResult AdminPanel()
{
    return View();
}

[Authorize(Policy = "Over18")]
public IActionResult AdultOnlyContent()
{
    return View();
}
四、综合示例：基于JWT的策略授权

在实际应用中，身份验证和授权常常结合在一起使用。以下是一个综合示例，展示如何使用JWT身份验证和策略授权来保护API端点。

  1. 配置身份验证和授权：

    public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
            .AddJwtBearer(options =>
            {
                options.TokenValidationParameters = new TokenValidationParameters
                {
                    ValidateIssuer = true,
                    ValidateAudience = true,
                    ValidateLifetime = true,
                    ValidateIssuerSigningKey = true,
                    ValidIssuer = "yourissuer",
                    ValidAudience = "youraudience",
                    IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("yoursecretkey"))
                };
            });

    services.AddAuthorization(options =>
    {
        options.AddPolicy("RequireAdmin", policy => policy.RequireRole("Admin"));
    });

    services.AddControllers();
}

  2. 实现策略授权：
    在控制器中使用策略授权保护API端点。

    [ApiController]
[Route("api/[controller]")]
public class SecureController : ControllerBase
{
    [HttpGet("admin")]
    [Authorize(Policy = "RequireAdmin")]
    public IActionResult GetAdminData()
    {
        return Ok("This is protected admin data.");
    }

    [HttpGet("user")]
    [Authorize]
    public IActionResult GetUserData()
    {
        return Ok("This is protected user data.");
    }
}
五、总结

ASP.NET Core 提供了灵活且强大的身份验证与授权机制，可以支持从简单的Cookie认证到复杂的JWT认证，以及从基于角色的授权到基于策略的授权等多种实现方式。通过合理配置和组合这些功能，你可以有效地

保护应用程序的安全，确保只有授权用户才能访问特定资源。

在实际项目中，身份验证和授权的配置将会根据业务需求而变化。无论是为Web应用程序提供前端认证，还是为API提供安全的无状态认证，ASP.NET Core都能提供合适的解决方案。理解并掌握这些机制，将有助于开发人员构建安全、可靠的Web应用程序。

高质量的码牛
关注
.netcore grpc身份验证和授权
qq_31975127的博客
08-18 1679
1）引入IdentityServer4、IdentityServer4.AccessTokenValidation、Microsoft.AspNetCore.Authentication.JwtBearer包。2）gRPC工厂中配置token传递 或者在调用对应的客户端函数中对metadata传参。链接：https://pan.baidu.com/s/1viu-REcR-ySdR0FE05sohg。（grpc专栏结束后会开启鉴权授权专栏欢迎大家关注）1）调用鉴权中心获取token。第三步：WPF客户端。
如何在 ASP.NET Core 中实现中间件管道
A_nanda的博客
05-21 173
ASP.NET Core 中的中间件是指拦截 HTTP 请求和响应的组件。它位于服务器和应用程序之间，允许您处理请求、执行逻辑和生成响应。将中间件想象成 Web 服务器和应用程序之间的友好看门人。这就像俱乐部的保镖，决定谁进去，谁不进去。ASP.NET Core 中的自定义中间件使开发人员能够将定制功能直接注入请求处理管道中。通过创建和实现中间件类，可以自定义应用程序处理传入请求和传出响应的方式。下面是自定义中间件类的示例：创建自定义中间件涉及使用遵循签名的方法实现类。
【ASP.NET Core 基础知识】--身份验证和授权--授权和策略
喵叔
01-30 2004
在ASP.NET Core中，授权和策略是关键的安全概念。授权确定用户是否有权限执行某操作或访问资源，而策略是组织授权规则的集合。通过使用属性，可以将授权规则应用到控制器或操作方法。自定义策略处理程序通过实现接口提供灵活的授权逻辑。在Startup.cs中，可以注册策略处理程序和定义策略。身份验证方案可以通过属性或在Startup.cs中配置来限制访问。这样，ASP.NET Core提供了强大而灵活的身份验证和授权机制，用于实现应用程序的安全访问控制。
【ASP.NET Core 基础知识】--身份验证和授权--用户认证的基本概念
喵叔
01-28 1735
用户认证是一个验证用户身份的过程，以确保用户是他们声称的那个用户。这通常涉及到用户提供用户名和密码，或者其他的身份验证信息，以证明他们有权访问特定的系统、服务或信息。用户认证是网络安全的重要组成部分，它可以防止未经授权的访问，保护用户的个人信息和企业的敏感数据。ASP.NET CORE 中的身份验证系统是一个强大的安全框架，它可以帮助开发人员保护他们的应用程序和用户数据。它提供了一种机制，用于验证用户的身份，并授权用户访问特定的资源或服务。
.NET CORE TOKEN 权限验证
菜鸟小灰灰的博客
03-30 9425
为了使数据请求时更加安全，.net core提供了token验证与权限Check机制。 token验证针对于post请求，一般在form表单提交时使用，可以防止直接输入链接 发送请求。具体实现： (1)在form表单中添加     @Html.Partial("_PageRefreshTokenView")     @Html.AntiForgeryToken() (2)在后台接收端添
.net core权限认证
weixin_33816821的博客
07-11 817
在Startup类中添加授权和验证的注入对象和中间件1.在ConfigureServices方法注入对象//验证注入 services.AddAuthentication ( opts=>opts.DefaultScheme=Microsoft.AspNetCore.Authentication.Cookies.CookieAuthenticationDefaul...
一网打尽身份验证与授权：深入剖析ASP.NET Core Identity在C#中的全方位实战应用
java专栏
04-26 962
ASP.NET Core Identity 是 Microsoft 提供的一个强大且可扩展的身份验证和授权框架，用于构建基于用户账户、角色和权限的Web应用程序。它提供了用户注册、登录、密码管理、多因素认证、角色分配、授权等功能，与ASP.NET Core框架深度集成，简化了安全相关的开发工作。通过上述代码示例和注释，展示了如何安装配置Identity、自定义用户实体与数据库上下文、实现用户注册登录、管理角色与用户角色关系，以及如何使用授权策略保护应用程序资源。，并指定用户和角色类型以及主键类型。
4.8：.NET的Web开发前后端分离和单页应用（SPA）开发（课程共7700字，4段代码举例）
小兔子平安
08-07 99
通过本课程的学习和四个例子的详细解析，我们对.NET的Web开发中前后端分离和SPA开发有了全面的了解。这些知识和技术可以帮助我们在实际项目中构建现代化、高效和可维护的Web应用程序。然而，我们仍然需要不断深入研究和探索，以应对不断变化和复杂化的开发需求，同时关注细微差别和细节上的优化和改进。
详解.Net Core 权限验证与授权（AuthorizeFilter、ActionFilterAttribute）
01-02
在.Net Core 中使用AuthorizeFilter或者ActionFilterAttribute来实现登录权限验证和授权 一、AuthorizeFilter 新建授权类AllowAnonymous继承AuthorizeFilter，IAllowAnonymousFilter public class AllowAnonymous : AuthorizeFilter, IAllowAnonymousFilter { } 新建拦截类继承AuthorizeFilter public class LoginAuthorzation : AuthorizeFilter { } 在
asp.net core 5.0 身份验证与授权 demo
01-05
使用visual studio 2019 创建的 asp.net core 5.0 web application 项。 startup类中注册使用Authentication和Authorization中间件服务，在controller或action中使用AuthorizeAttribute和AllowAnonymousAttribute控制访问权限。 详见代码，都有注释。
Asp.NetCore示例代码-权限验证-过滤器-设计模式等
02-12
Asp.NetCore示例代码-权限验证-过滤器-设计模式等，提供大家参考。
ASP.NET 开发实例完全剖析
09-17
5. **安全性**：ASP.NET内置了身份验证和授权机制，如Forms Authentication和Windows Authentication，可以保护应用免受未授权访问。此外，还有AntiForgeryToken防止CSRF攻击，以及OWIN中间件增强应用安全性。 6. *...
.NET Aspire 应用程序剖析
java专栏
08-05 540
通过以上步骤，我们不仅构建了一个简单的.NET Aspire应用程序示例，还深入探讨了.NET Core应用程序的基本架构和开发流程。记住，这只是一个起点，.NET宇宙浩瀚无边，还有诸如Blazor、SignalR、Entity Framework Core等众多技术等待你去探索和掌握。继续前行，让每一次编码都成为一次星际旅行，发现未知，创造未来！🌟。
ASP.NET Core：认证与授权
子昊
01-27 3523
认证 认证是安全体系的第一道屏障。当访问者的请求进入的时候，认证体系通过验证对方提供的凭证来确定它的真实身份。认证体系只有在证实了访问者的真实身份之后才允许它进入。.NET Core提供了多种认证方式。但是它们的实现都是一样的。都是基于同一个认证模型的。 ASP.NET Core的认证功能是通过内置的一个认证组件来提供的。这个组件在处理分发给它的请求时会按照指定的认证方案从请求中提取能够验证用户真实身份的数据。我们一般把这种数据称为安全令牌。在ASP.NET Core应用下的安全令牌也叫做认证票据。
ASP.NET Core Web API用户身份验证
lweiyue的专栏
05-07 4754
ASP.NET Core Web API用户身份验证的方法有很多，本文只介绍JWT方法。JWT实现了服务端无状态，在分布式服务、会话一致性、单点登录等方面凸显优势，不占用服务端资源。简单来说，JWT的验证过程如下所示：（1）通过用户名和密码获取一个Token。（2）访问API时，加上这个Token。Token包含过期时间、用户角色等信息，可以在多种场合灵活使用。
.Net Core-Ocelot的使用四：认证与授权
This is Fourteen
03-31 737
1、NuGet安装：Microsoft.AspNetCore.Authentication.JwtBearer 2、添加引用 using Microsoft.AspNetCore.Authentication.JwtBearer; 一、Startup.cs中注册身份验证服务 public void ConfigureServices(IServiceCollection services) ...
.NET Core 中的 JWT 认证与授权
最新发布
hy_4377的博客
08-16 800
JWT 是一种基于 JSON 的开放标准（RFC 7519），用于在网络应用环境中传递声明信息。JWT 由三部分组成：Header（头部）、Payload（载荷）、Signature（签名）。这三部分通过点号（.）连接，形成一个 JWT 字符串。包含令牌的类型和使用的加密算法。包含声明信息，可以是用户信息，也可以是其他元数据。使用 Header 中指定的算法和一个密钥对 Header 和 Payload 进行签名，确保令牌的完整性和安全性。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值