Dotnet core使用JWT认证授权最佳实践(一)

最新推荐文章于 2024-08-25 09:54:05 发布
最新推荐文章于 2024-08-25 09:54:05 发布
阅读量1.6k 收藏 7
点赞数 1

最近，团队的小伙伴们在做项目时，需要用到JWT认证。遂根据自己的经验，整理成了这篇文章，用来帮助理清JWT认证的原理和代码编写操作。

一、JWT

JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。

 

JWT是什么，看上面这段网上抄来的话。

关于JWT以及优缺点，网上有很多详细的说法，我这儿就不重复了。

我们只需要知道以下的事实：

在一般的系统中，我们有时候会做个用户登录。用户登录完成进到系统后，需要根据用户的权限，来控制一些功能可用，而另一些功能不可用。

在SOA/AOP架构中，做为最重要的API端，其实也需要有类似登录或认证的内容，用来区分哪些用户可以使用某个API，哪些用户不行。

同时，我们希望这个登录或类似登录的过程，只发生在一个固定位置。这样，在我们写代码时，建立好这样一个过程后，在我们后边写代码时，简单引用即可，而不需要每个API程序都开发一次认证。这个需求，其实就是OAuth的由来。

最重要的是，这样的代码写出来，显得高大上。

 

下面进入正题。

认证这个操作，就像我们最近的日子。

首先，我们要有一个出入证，或者绿码。这个证，我们称作令牌（Token）。我们去领这个证，这个操作称为发行（Issue）。

我们拿着这个证，去到一个地方。有专人会检查这个证，这称为用户身份验证（Authentication）。验证通过放行，称为授权（Authorization），验证不通过，叫作未授权错误（Unauthorized）。

如果这个证过期了，你就需要去重新办一个证。这个过程叫做刷新（RefreshToken）。

简言之，这就是认证的全部流程。

 

下面，我用一个Demo项目，来逐步完成这个过程。

二、开发环境&基础项目

这个Demo的开发环境是：Mac + VS Code + Dotnet Core 3.1.2。

$ dotnet --info
.NET Core SDK (reflecting any global.json):
 Version:   3.1.201
 Commit:    b1768b4ae7

Runtime Environment:
 OS Name:     Mac OS X
 OS Version:  10.15
 OS Platform: Darwin
 RID:         osx.10.15-x64
 Base Path:   /usr/local/share/dotnet/sdk/3.1.201/

Host (useful for support):
  Version: 3.1.3
  Commit:  4a9f85e9f8

.NET Core SDKs installed:
  3.1.201 [/usr/local/share/dotnet/sdk]

.NET Core runtimes installed:
  Microsoft.AspNetCore.App 3.1.3 [/usr/local/share/dotnet/shared/Microsoft.AspNetCore.App]
  Microsoft.NETCore.App 3.1.3 [/usr/local/share/dotnet/shared/Microsoft.NETCore.App]

 

首先，在这个环境下建立工程：

  1. 创建Solution

% dotnet new sln -o demo
The template "Solution File" was created successfully.

  1. 用Webapi模板创建项目

% cd demo
% dotnet new webapi -o demo
The template "ASP.NET Core Web API" was created successfully.

Processing post-creation actions...
Running 'dotnet restore' on demo/demo.csproj...
  Restore completed in 179.13 ms for demo/demo.csproj.

Restore succeeded.

  1. 把Demo项目加到Solution中

% dotnet sln add demo/demo.csproj
Project `demo/demo.csproj` added to the solution.

  1. 安装Swagger（这步非必须，我习惯用Swagger，不习惯用Postman）

% dotnet add package Swashbuckle.AspNetCore
log  : Restore completed in 2.75 sec for demo/demo.csproj.

  1. 安装JWT认证支持库（必须引入）

% dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer
log  : Restore completed in 3.09 sec for demo/demo.csproj.

 

五步做完，基础项目就建完了。

看一下整个的目录结构：

% tree .
.
├── demo
│   ├── Controllers
│   │   └── WeatherForecastController.cs
│   ├── Program.cs
│   ├── Properties
│   │   └── launchSettings.json
│   ├── Startup.cs
│   ├── WeatherForecast.cs
│   ├── appsettings.Development.json
│   ├── appsettings.json
│   ├── demo.csproj
│   └── obj
│       ├── demo.csproj.nuget.dgspec.json
│       ├── demo.csproj.nuget.g.props
│       ├── demo.csproj.nuget.g.targets
│       ├── project.assets.json
│       └── project.nuget.cache
└── demo.sln

 

  1. 在Startup.cs中补充代码，以启用Swagger

在ConfigureServices方法中加入以下代码：

services.AddSwaggerGen(c =>
{
        c.SwaggerDoc("v1", new OpenApiInfo { Title = "Demo", Version = "V1" });

        c.AddSecurityDefinition("Bearer", new OpenApiSecurityScheme
        {
                Name = "Authorization",
                Type = SecuritySchemeType.ApiKey,
                Scheme = "Bearer",
                BearerFormat = "JWT",
                In = ParameterLocation.Header,
                Description = "",
        });

        c.AddSecurityRequirement(new OpenApiSecurityRequirement
        {
                {
                        new OpenApiSecurityScheme
                        {
                                Reference = new OpenApiReference
                                {
                                        Type = ReferenceType.SecurityScheme,
                                        Id = "Bearer"
                                }
                        },
                        new string[] {}
                }
        });
});

在Configure方法中加入以下代码

app.UseSwagger();
app.UseSwaggerUI(c =>
{
        c.SwaggerEndpoint("/swagger/v1/swagger.json", "Demo V1");
});

关于Swagger的详细配置，这里不做说明，留着以后写。

三、签发Token

签发Token是认证的第一步。

用户进到系统，在验证用户帐号密码后，需要根据用户的数据，把Token返回给用户。

这个过程其实跟认证没什么关系，只是一个普通的API功能。

  1. 工程下加一个目录DTOModels，创建一个LoginRequestDTO的类，用于定义API的输入参数。

using System;

namespace demo.DTOModels
{
    public class LoginRequestDTO
    {
        public string username { get; set; }
        public string password { get; set; }
    }
}

  1. 创建一个控制器AuthenticationController，并在控制器里创建一个API方法RequestToken。

using Microsoft.AspNetCore.Mvc;
using demo.DTOModels;

namespace demo.Controllers
{
    public class AuthenticationController : ControllerBase
    {
        [HttpPost, Route("requesttoken")]
        public ActionResult RequestToken([FromBody] LoginRequestDTO request)
        {
              //这儿待完善
            return Ok();
        }
    }
}

  1. 生成JWT Token需要预设一些参数。我们在appsetting.json里先设置好。

{
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft": "Warning",
      "Microsoft.Hosting.Lifetime": "Information"
    }
  },
  "AllowedHosts": "*",
  "tokenParameter": {
    "secret": "123456123456123456",
    "issuer": "WangPlus",
    "accessExpiration": 120,
    "refreshExpiration": 1440
  }
}

这里，tokenParameter节是我们设置的参数。一般来说，是这几个：

secret: JWT加密的密钥。现在主流用SHA256加密，需要256位以上的密钥，unicode是16个字符以上，尽量复杂一些。密钥泄露，Token就会被破解，所以，你懂的。

issuer: 签发人的名称，如果没人注意，你可以把大名写在上面。

accessExpiration: Token的有效分钟数。过了这个时间，这个Token会过期。

refreshExpiration: refreshToken的有效分钟数。过了这个时间，用户需要重新登录。

 

Token过期后，可以让用户重新登录认证拿Token。但这个方式会比较Low。高大上的方式是签发Token的时候，同时也签发一个refreshToken给用户。用户Token过期后，可以拿refreshToken去申请新的Token，同时刷新refreshToken。如果用户长时间未使用系统，refreshToken也过期了，才让用户重新登录认证。

refreshToken可以用JWT生成，也可以自己生成，不影响认证。

  1. 建一个Models目录，创建一个映射tokenParameter的类。这个类不是必须，只是为了写着方便。不想这样写，也可以直接读配置，再转成数据。

using System;

namespace demo.Models
{
    public class tokenParameter
    {
        public string Secret { get; set; }
        public string Issuer { get; set; }
        public int AccessExpiration { get; set; }
        public int RefreshExpiration { get; set; }
    }
}

  1. 在前边建好的API - RequestToken中，完成Token和refreshToken的生成和返回。

using Microsoft.AspNetCore.Mvc;
using demo.DTOModels;
using Microsoft.Extensions.Configuration;
using System;
using System.Text;
using demo.Models;
using Microsoft.IdentityModel.Tokens;
using System.Security.Claims;
using System.IdentityModel.Tokens.Jwt;

namespace demo.Controllers
{
    public class AuthenticationController : ControllerBase
    {
        private tokenParameter _tokenParameter = new tokenParameter();
        public AuthenticationController()
        {
            var config = new ConfigurationBuilder()
                .SetBasePath(AppContext.BaseDirectory)
                .AddJsonFile("appsettings.json")
                .Build();

            _tokenParameter = config.GetSection("tokenParameter").Get<tokenParameter>();
        }

        [HttpPost, Route("requestToken")]
        public ActionResult RequestToken([FromBody] LoginRequestDTO request)
        {
            //这儿在做用户的帐号密码校验。我这儿略过了。
            if (request.username == null && request.password == null)
                return BadRequest("Invalid Request");

              //生成Token和RefreshToken
            var token = GenUserToken(request.username, "testUser");
            var refreshToken = "123456";

            return Ok(new[] { token, refreshToken });
        }


          //这儿是真正的生成Token代码
          private string GenUserToken(string username, string role)
        {
            var claims = new[]
            {
                new Claim(ClaimTypes.Name, username),
                new Claim(ClaimTypes.Role, role),
            };

            var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_tokenParameter.Secret));
            var credentials = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
            var jwtToken = new JwtSecurityToken(_tokenParameter.Issuer, null, claims, expires: DateTime.UtcNow.AddMinutes(_tokenParameter.AccessExpiration), signingCredentials: credentials);

            var token = new JwtSecurityTokenHandler().WriteToken(jwtToken);

            return token;
        }
    }
}

这个类里，验证帐号密码的代码我略过了。还有，refreshToken给了一个固定串。真实项目这儿就按需要做就好。

（未完待续）

动动手指，点个在看

您的赞赏是我最大的鼓励

I will be more solid with your donations

dotNET跨平台
关注
.NET Core 集成JWT认证
阿星Plus
09-07 374
JWT(Json web token)就不用过多的介绍了，在 .NET Core 开发中使用JWT进行认证也是比较常见的，而且接入过程也比较简单，随便配置配置就好了。要想使用JWT，仅仅...
Dotnet core使用JWT认证授权最佳实践(二)
whyrookie的博客
03-31 4125
最近，团队的小伙伴们在做项目时，需要用到JWT认证。遂根据自己的经验，整理成了这篇文章，用来帮助理清JWT认证的原理和代码编写操作。 第一部分：Dotnet core使用JWT认证授权最佳实践(一) （接上文） 测试运行 %dotnetrun 等程序运行起来后，在浏览器输入：http://localhost:5000/swagger/，会进到Swagger的API界面。选择requestToken，点击按钮”Try it out“->”Execute“，可以看到运行结果： ["eyJhbG...
.NET 5.0 API JWT认证与刷新令牌实战教程
最新发布
gitblog_01185的博客
08-25 799
.NET 5.0 API JWT认证与刷新令牌实战教程 dotnet-5-jwt-refresh-tokens-api.NET 5.0 API - JWT Authentication with Refresh Tokens项目地址:https://gitcode.com/gh_mirrors/do/dotnet-5-jwt-refresh-tokens-api 项目介绍 本项目基于.NET ...
dotNET Core 3.X 使用 Jwt 实现接口认证
dotNET跨平台
04-22 645
在前后端分离的架构中，前端需要通过 API 接口的方式获取数据，但 API 是无状态的，没有办法知道每次请求的身份，也就没有办法做权限的控制。如果不做控制，API 就对任何人敞开了大门，...
.net core使用Jwt授权验证
10-30
.net core使用Jwt授权验证，使用版本为.net core2.2，微软已经集成使用很方便
.NET core JWT身份认证实现
lwpoor123的博客
12-15 1473
首先我们知道jwt中一定会有的字段有Issuer,Audience,另外jwt有过期时间,所以要有代表生命周期的Lifetime,表示续期的RenewalTime,然后是头字段,是否验证失效时间,是否验证签名等,于是就有了如下结构. JwtConfig.cs在Hero.Jwt中定义一个叫做JwtConfig的类,表示针对jwt的所有配置信息,ciset;set;/// 签名keyset;/// 生命周期set;/// 续期时间set;/// 是否验证生命周期set;/// 验证头字段set;
ASP.NET Core学习之使用JWT认证授权详解
10-14
本文将深入探讨如何在ASP.NET Core中使用JWT（JSON Web Tokens）进行认证授权。 JWT是一种轻量级的身份验证机制，它允许在客户端和服务器之间安全地传递信息，而无需在服务器上存储会话信息。JWT通过在令牌中携带...
【ASP.NET编程知识】ASP.NET Core学习之使用JWT认证授权详解.docx
05-15
在 ASP.NET Core 中，使用 JWT（JSON Web Token）认证授权是一种常见的身份验证方式。本文将详细介绍 JWT 的优势和劣势，以及在 ASP.NET Core 中如何集成 JWT 认证。 认证和授权 认证是指识别用户是否合法的过程，...
ASP.Net Core3.0中使用JWT认证的实现
10-15
在本文中，我们将深入探讨如何在ASP.NET Core 3.0中实现JWT（JSON Web Tokens）认证，这是一种轻量级的安全身份验证机制。 JWT认证允许服务器通过向客户端发送一个令牌来确认其身份，而不需要在后续请求中携带任何...
DotNetJWT:这是一个示例项目，提供使用OWIN和自定义OAuthProvider以及资源服务器的.NET身份验证服务器。 还有一个示例AngularJS项目，该项目利用身份验证服务器获取JWT，然后将其在标头中传递给资源服务器
05-02
点网 这是一个示例项目，提供使用OWIN和自定义OAuthProvider以及资源服务器的.NET身份验证服务器。 还有一个示例AngularJS项目，该项目利用身份验证服务器获取JWT，然后将其在标头中传递给资源服务器。 要进行测试，只需在Visual Studio中运行两个项目（将解决方案设置为单击“开始”时就运行两个项目），然后通过命令行运行TestJWTApp AngularJs项目。 AuthorizeServer.Api 这是身份验证服务器。 可以从端点/ oauth2 / token请求令牌。 发布的数据应为： 用户名 密码 grant_type clientId 当前，唯一的听众的ID为d3c2e8f35db549df8b6507f7e025301d。 观众及其秘密可以在AuthorizeServer.Api->模型-> AudiencesStore.cs中找到。
.NET Core 实现 JWT 认证
rjcql的专栏
02-07 2172
JWT（JSON Web Token）是一种开放标准, 由三部分组成，分别是Header、Payload和Signature，它以 JSON 对象的方式在各方之间安全地传输信息。通俗的说，就是通过数字签名算法生产一个字符串，然后在网络请求的中被携带到服务端进行身份认证，功能上来说和 SessionId 认证方式很像。在.Net Core 中使用JWT 可以通过 NuGet 获取 Microsoft.AspNetCore.Authentication.JwtBearer 包。
net core 使用jwt
qq_51172697的博客
04-29 1695
1. 安装必要的包首先，确保你的.NET Core项目中安装了处理JWT相关的包，比如和。可以通过NuGet包管理器来安装。
.Net Core使用JWT进行身份认证
baidu_38845827的博客
12-01 1224
参照下面的博客一点问题没有 https://www.cnblogs.com/tommao2618/archive/2020/06/19/13127625.html 我自己在测试的时候 生成jwt的token报错：PII is hidden. For more details 参照下面的博客知道了原因是由于设置的key过短 https://blog.csdn.net/gnsyhxg/article/details/96181383 ...
.NET Core 中的 JWT 认证与授权
hy_4377的博客
08-16 1070
JWT 是一种基于 JSON 的开放标准（RFC 7519），用于在网络应用环境中传递声明信息。JWT 由三部分组成：Header（头部）、Payload（载荷）、Signature（签名）。这三部分通过点号（.）连接，形成一个 JWT 字符串。包含令牌的类型和使用的加密算法。包含声明信息，可以是用户信息，也可以是其他元数据。使用 Header 中指定的算法和一个密钥对 Header 和 Payload 进行签名，确保令牌的完整性和安全性。
.Net Core 配置JWT鉴权
weixin_54629917的博客
07-03 1181
JSON Web Tokens（JWT）作为一种流行的无状态身份验证机制，提供了一种安全、高效的方式来处理分布式系统中的用户认证问题。JWT提供了一种灵活、安全的方式来处理身份验证和授权，适用于需要高扩展性和安全性的Web应用。
使用.NET Core实现JWT身份验证和授权
library_git106的博客
09-20 389
在TokenValidationParameters中，我们可以设置一些验证选项，例如验证发行者（Issuer）和受众（Audience），验证令牌的生命周期，以及验证签名密钥等。通过配置身份验证服务和中间件，以及创建和验证JWT令牌，我们可以轻松地在.NET Core应用程序中实现安全的身份验证和授权机制。请注意，示例中的代码仅用于演示目的，实际应用中可能需要更复杂的逻辑来处理身份验证和授权。此外，为了安全起见，建议将密钥和其他敏感信息存储在安全的位置，并使用适当的加密和保护措施。
ASP.NET Core深入理解JWT认证授权
本文档详细介绍了ASP.NET Core中使用JWT（JSON Web Tokens）进行认证授权的方法，探讨了JWT的优势和劣势，并提供了在ASP.NET Core项目中集成JWT认证的步骤。 在现代Web应用开发中，认证授权是核心功能之一。随着...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值