ASP.NET Core WebAPI中使用JWT Bearer认证和授权

最新推荐文章于 2024-09-05 21:54:14 发布
最新推荐文章于 2024-09-05 21:54:14 发布
阅读量3.4k 收藏 17
点赞数

为什么是 JWT Bearer

ASP.NET Core 在 Microsoft.AspNetCore.Authentication 下实现了一系列认证, 包含 Cookie, JwtBearer, OAuth, OpenIdConnect 等,

  • Cookie 认证是一种比较常用本地认证方式, 它由浏览器自动保存并在发送请求时自动附加到请求头中, 更适用于 MVC 等纯网页系统的本地认证.

  • OAuth & OpenID Connect 通常用于运程认证, 创建一个统一的认证中心, 来统一配置和处理对于其他资源和服务的用户认证及授权.

  • JwtBearer 认证中, 客户端通常将 JWT(一种Token) 通过 HTTP 的 Authorization header 发送给服务端, 服务端进行验证. 可以方便的用于 WebAPI 框架下的本地认证.
    当然, 也可以完全自己实现一个WebAPI下基于Token的本地认证, 比如自定义Token的格式, 自己写颁发和验证Token的代码等. 这样的话通用性并不好, 而且也需要花费更多精力来封装代码以及处理细节.

什么是 JWT

JWT (JSON Web Token) 是一种基于JSON的、用于在网络上声明某种主张的令牌（token）。
作为一个开放的标准（RFC 7519），定义了一种简洁的、自包含的方法，从而使通信双方实现以JSON对象的形式安全的传递信息。

JWT通常由三部分组成: 头信息（header）, 消息体（payload）和签名（signature）。
头信息指定了该JWT使用的签名算法：

header = {"alg": "HS256", "typ": "JWT"}

消息体包含了JWT的意图：

payload = {"sub": "1234567890", "name": "John Doe", "iat": 1516239022}

未签名的令牌由base64url编码的头信息和消息体拼接而成（使用"."分隔），签名则通过私有的key计算而成：

key = "secretkey" unsignedToken = encodeBase64(header) + '.' + encodeBase64(payload)  signature = HMAC-SHA256(key, unsignedToken)

最后在尾部拼接上base64url编码的签名（同样使用"."分隔）就是JWT了：

token = encodeBase64(header) + '.' + encodeBase64(payload) + '.' + encodeBase64(signature)

JWT常常被用作保护服务端的资源，客户端通常将JWT通过HTTP的Authorization header发送给服务端，服务端使用自己保存的key计算、验证签名以判断该JWT是否可信。

Authorization: Bearer <token>

JWT 的优缺点

相比于传统的 cookie-session 认证机制，优点有：

  1. 更适用分布式和水平扩展
    在cookie-session方案中，cookie内仅包含一个session标识符，而诸如用户信息、授权列表等都保存在服务端的session中。如果把session中的认证信息都保存在JWT中，在服务端就没有session存在的必要了。当服务端水平扩展的时候，就不用处理session复制（session replication）/ session黏连（sticky session）或是引入外部session存储了。

  2. 适用于多客户端（特别是移动端）的前后端解决方案
    移动端使用的往往不是网页技术，使用Cookie验证并不是一个好主意，因为你得和Cookie容器打交道，而使用Bearer验证则简单的多。

  3. 无状态化
    JWT 是无状态化的，更适用于 RESTful 风格的接口验证。

它的缺点也很明显：

  1. 更多的空间占用
    JWT 由于Payload里面包含了附件信息，占用空间往往比SESSION ID大，在HTTP传输中会造成性能影响。所以在设计时候需要注意不要在JWT中存储太多的claim,以避免发生巨大的,过度膨胀的请求。

  2. 无法作废已颁布的令牌
    所有的认证信息都在JWT中，由于在服务端没有状态，即使你知道了某个JWT被盗取了，你也没有办法将其作废。在JWT过期之前（你绝对应该设置过期时间），你无能为力。

在 WebAPI 中使用 JWT 认证

  1. 定义配置类 JwtIssuerOptions.cs

640?wx_fmt=png

640?wx_fmt=png

640?wx_fmt=png

在 Startup.cs 里面添加相关代码:

读取配置:

640?wx_fmt=png

JwtBearer验证:

640?wx_fmt=png

640?wx_fmt=png

创建一个控制器 AuthController.cs，用来提供签发 Token 的 API

640?wx_fmt=png

为需要保护的API添加 [Authorize] 特性

640?wx_fmt=png

  1. 使用 Swagger UI 或者 PostMan 等工具测试

    获取Token:

    curl -X POST "http://localhost:5000/api/Auth/Login" -H "accept: application/json" -H "Content-Type: application/json-patch+json" -d "{ \"userName\": \"Paul\", \"password\": \"Paul123\"}"

    返回值:

    "{\r\n  \"auth_token\": \"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.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.UAWLYQ5lA6xWofWIjGsPGWtAMHEtqZSfrfVaBui2mKI\",\r\n  \"expires_in\": 7200,\r\n  \"token_type\": \"Bearer\"\r\n}"

    在 https://jwt.io/ 上解析 Token 如下:

    {  "sub": "Paul",  "jti": "3b5c1233-e25a-4ee9-bd66-cf4656ac33d3",  "iat": 1544589869,  "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name": "Paul",  "id": "d37f27ce-8780-4425-9135-b688a76c4c0f",  "http://schemas.microsoft.com/ws/2008/06/identity/claims/role": ["administrator","api_access"],  "nbf": 1544589868,  "exp": 1544597068,  "iss": "SecurityDemo.Authentication.JWT",  "aud": "http://localhost:5000/"}

    使用 Token 访问受保护的 API

    curl -X GET "http://localhost:5000/api/Values" -H "accept: text/plain" -H "Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.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.UAWLYQ5lA6xWofWIjGsPGWtAMHEtqZSfrfVaBui2mKI"

刷新 Token

因为JWT在服务端是没有状态的, 无论用户注销, 修改密码还是Token被盗取, 你都无法将其作废. 所以给JWT设置有效期并且尽量短是很有必要的. 但我们不可能让用户每次Token过期后都重新输入一次用户名和密码为了生成新的Token. 最好是有种方式在用户无感知的情况下完成Token刷新. 所以这里引入了Refresh Token.

修改 JwtFactory 中的 GenerateEncodedToken 方法, 新加一个参数 refreshToken, 并在包含在 response 里和 auth_token 一起返回.

640?wx_fmt=png

修改 AuthController 中的 Login Action, 在每次客户端请求 JWT Token 的时候, 同时生成一个 GUID 的 refreshToken. 这个 refreshToken 需要保存在数据库或者缓存里. 这里方便演示放入了 MemoryCache 里面. 缓存的过期时间要比JWT Token的过期时间稍微长一点.

640?wx_fmt=png

添加一个RefreshToken的接口, 接收参数 refresh_token, 然后检查 refresh_token 的有效性, 如果有效生成一个新的 auth_token 和 refresh_token 并返回. 同时需要删除掉原来 refresh_token 的缓存.
这里只是简单的利用缓存的过期时间和auth_token的过期时间相近从而默认 refresh_token 是有效的, 精确期间需要把对应的 auth_token过期时间一起放入缓存, 在刷新Token的时候验证这个时间.

640?wx_fmt=png

  1. 测试

    获取Token:

    curl -X POST "http://localhost:5000/api/Auth/Login" -H "accept: application/json" -H "Content-Type: application/json-patch+json" -d "{ \"userName\": \"Paul\", \"password\": \"Paul123\"}"

    返回值:

    "{\r\n  \"auth_token\": \"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.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.tEJ-EuaI-BalW4lJEL8aeJzdryKfE440EC4cAVOW1PY\",\r\n  \"refresh_token\": \"3093f839-fd3c-47a3-97a9-c0324e4e6b7e\",\r\n  \"expires_in\": 600,\r\n  \"token_type\": \"Bearer\"\r\n}"

    请求RefreshToken:

    curl -X POST "http://localhost:5000/api/Auth/RefreshToken" -H "accept: application/json" -H "Content-Type: application/json-patch+json" -d "{ \"userName\": \"Paul\", \"refreshToken\": \"3093f839-fd3c-47a3-97a9-c0324e4e6b7e\"}"

    返回新的 auth_token 和 refresh_token

    "{\r\n  \"auth_token\": \"eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.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.A1hXNVmkqD80GqfF69LwvarpNf5QedPvKFDcB5xA4Z0\",\r\n  \"refresh_token\": \"b33de8ff-5213-4d37-be0b-7b561553e0f7\",\r\n  \"expires_in\": 600,\r\n  \"token_type\": \"Bearer\"\r\n}"

使用授权

在认证阶段我们通过用户令牌获取到了用户的Claims，而授权便是对这些Claims进行验证, 比如是否拥有某种角色，年龄是否大于18岁(如果Claims里有年龄信息)等。

简单授权

ASP.NET Core中使用Authorize特性授权, 使用AllowAnonymous特性跳过授权.

640?wx_fmt=png

基于固定角色的授权

适用于系统中的角色是固定的，每种角色可以访问的Controller和Action也是固定的情景.

640?wx_fmt=png

基于策略的授权

在ASP.NET Core中，重新设计了一种更加灵活的授权方式：基于策略的授权, 它是授权的核心.
在使用基于策略的授权时，首先要定义授权策略，而授权策略本质上就是对Claims的一系列断言。
基于角色的授权和基于Scheme的授权，只是一种语法上的便捷，最终都会生成授权策略。

640?wx_fmt=png

自定义策略授权

基于策略的授权中有一个很重要的概念是Requirements，每一个Requirement都代表一个授权条件。
Requirement需要继承接口IAuthorizationRequirement。
在 ASP.NET Core 中已经内置了一些常用的实现：

  • AssertionRequirement ：使用最原始的断言形式来声明授权策略。

  • DenyAnonymousAuthorizationRequirement ：用于表示禁止匿名用户访问的授权策略，并在AuthorizationOptions中将其设置为默认策略。

  • ClaimsAuthorizationRequirement ：用于表示判断Cliams中是否包含预期的Claims的授权策略。

  • RolesAuthorizationRequirement ：用于表示使用ClaimsPrincipal.IsInRole来判断是否包含预期的Role的授权策略。

  • NameAuthorizationRequirement：用于表示使用ClaimsPrincipal.Identities.Name来判断是否包含预期的Name的授权策略。

  • OperationAuthorizationRequirement：用于表示基于操作的授权策略。

除了OperationAuthorizationRequirement外，都有对应的快捷添加方法，比如RequireClaim，RequireRole，RequireUserName等。

当内置的Requirement不能满足需求时，可以定义自己的Requirement. 下面基于图中所示的用户-角色-功能权限设计来实现一个自定义的验证策略。
640?wx_fmt=png

  1. 添加一个静态类 TestUsers 用于模拟用户数据
    这里只是模拟, 实际使用当中肯定是从数据库取数据, 同时也应该有类似于User, Role, Function, UserRole, RoleFunction等几张表保存这些数据.

640?wx_fmt=png

创建类 UserService 用于获取用户已授权的功能列表.

640?wx_fmt=png

创建 PermissionRequirement

640?wx_fmt=png

创建 PermissionHandler
获取当前的URL, 并去当前用户已授权的URL List里查看. 如果匹配就验证成功.

640?wx_fmt=png

在Startup.cs 的 ConfigureServices 里面注册 PermissionHandler 并添加 Policy.

640?wx_fmt=png

添加测试代码并测试
注意这里Controller, Action需要和用户功能表里的URL一致

640?wx_fmt=png

  1. 使用我们的模拟数据, 用户 Paul 两个Action GetAdminValue 和 GetGuestValue 都可以访问; Young 只有权限访问 GetGuestValue; 而 Roy 只可以访问 GetAdminValue.

基于资源的授权

有些时候, 授权需要依赖于要访问的资源, 比如:只允许作者自己编辑和删除所写的博客.
这种场景是无法通过Authorize特性来指定授权的, 因为授权过滤器会在MVC的模型绑定之前执行，无法确定所访问的资源。此时，我们需要使用基于资源的授权。
在基于资源的授权中, 我们要判断的是用户是否具有针对该资源的某项操作, 而系统预置的OperationAuthorizationRequirement就是用于这种场景中的.

640?wx_fmt=png

640?wx_fmt=png

640?wx_fmt=png

640?wx_fmt=png

  1. 在实际使用当中, 可以通过EF Core拦截或AOP来实现授权验证与业务代码的分离。

源代码

github

参考

  • Overview of ASP.NET Core Security

  • AngularASPNETCore2WebApiAuth

  • ASP.NET Core 认证与授权[1]:初识认证

  • asp.net core策略授权

  • ASP.NET Core 使用 JWT 搭建分布式无状态身份验证系统

  • JWT权限验证

  • Handle Refresh Token Using ASP.NET Core 2.0 And JSON Web Token


.Net Core6.0 WebAPI项目框架搭建五：JWT权限验证
yigu4011的博客
05-19 4213
在SetUp文件夹里面新建注册方法AuthorizationSetup.cs。这里就不过多的阐述了，直接上代码。在HomeController中新建Login接口来获取Token。在appsettings.json中配置jwt参数的值。上面我们是用的Admin的权限，所以会提示403错误。在program.cs里面注册服务，开启服务。SecretKey必须大于16个字符。新建JwtHelper.cs帮助类。解析出来的role是Admin。
ASP NET Core 认证与授权 4 JwtBearer认证
qq_43678418的博客
01-20 618
ASP NET Core 认证与授权 4 JwtBearer认证
ASP.NET Core 入门教学十三 使用JWT进行身份验证
最新发布
Life is not divided
09-05 888
在本教程中，我们将学习如何在ASP.NET Core项目中使用JSON Web Tokens（JWT）来实现安全的身份验证。JWT是一种开放标准（RFC 7519），用于在各方之间安全地传输信息作为JSON对象。
ASP.NET Core 认证与授权[4]:JwtBearer认证
weixin_33861800的博客
11-03 677
在现代Web应用程序中，通常会使用Web, WebApp, NativeApp等多种呈现方式，而后端也由以前的Razor渲染HTML，转变为Stateless的RESTFulAPI，因此，我们需要一种标准的，通用的，无状态的，与语言无关的认证方式，也就是本文要介绍的JwtBearer认证。 目录 Bearer认证 JWT(JSON WEB TOKEN) 头部(Header) 载荷(Payloa...
在ASP.NET Core中轻松使用JwtBeare进行身份验证
软件开发学习交流
05-15 1045
JwtBearer简介首先要搞清楚什么是JwtBearer，JwtBearer是ASP.NET Core的OAuth 2.0 JWT Bearer身份验证提供程序。它提供了对JWT令牌进行验证的功能，然后允许将令牌中包含的声明（claims）用于用户身份验证和授权控制。Json Web Token (JWT)是一种Web标准，用于在不同系统间传输数据。JWT是一种可验证的和安全的方式，用于在各种应用程序之间传递信息。JWT具有一定的安全性，因为它是通过密钥对JWT进行签名的，以确保意味着不能进行篡改或伪造。
ASP.NET Core WebApi基于JWT实现接口授权验证
weixin_30510153的博客
07-14 3880
一、ASP.Net Core WebApi JWT课程前言 我们知道，http协议本身是一种无状态的协议，而这就意味着如果用户向我们的应用提供了用户名和密码来进行用户认证，那么下一次请求时，用户还要再一次进行用户认证才行，因为根据http协议，我们并不能知道是哪个用户发出的请求，所以为了让我们的应用能识别是哪个用户发出的请求，我们只能在服务器存储一份用户登录的信息，这份登录信息会在响应时传递...
【AspNetCore】实现JWT(使用Microsoft.AspNetCore.Authentication.JwtBearer)
在这里你大概率会有所收获，欢迎指错||纠正||建议||水评+点赞&&评论&&关注&&转发
08-08 1928
在AspNetCore 中实现Jwt比较简单，使用Microsoft.AspNetCore.Authentication.JwtBearer 库，再加几行代码即可.
ASP.NET WebAPI Token JWT Bearer 认证失败和成功返回自定义数据 Json
04-17
asp.net WebAPI Token Oauth2.0授权自定义返回结果(包括登录正确返回，登录失败返回)。 详细参考：https://blog.csdn.net/u013546115/article/details/105580532
手把手教你AspNetCore WebApi认证与授权的方法
12-16
赶紧Baidu一下，发现大家都在用JWT认证授权，这个倒是挺适合自己的。 什么是Token Token是服务端生成的一串字符串，以作客户端进行请求的一个令牌，当第一次登录后，服务器生成一个Token便将此Token返回给客户端，...
记录一次ASP.NET 3.1 Webapi中使用JWT认证过程
APPLEHU09的博客
07-05 1393
框架：asp.net 3.1IDE：VS2019一、创建一个.NET CORE 3.1的webapi项目，这里创建过程就不赘述了，使用VS2019一步步创建即可；二、创建完后需要NuGet Package手动添加Microsoft.AspNetCore.Authentication.JwtBearer库。三、为方便接口测试，我们先加入swagger接口帮助文档（1）手动添加Swashbuckle.AspNetCore.SwaggerGen；Swashbuckle.AspNetCore.SwaggerUI；U
.NET6平台开发WebApi-使用JWT进行用户鉴权和测试源码
02-21
1.用.Net6平台WebApi项目开发 2.使用jwt给用户颁发密钥 3.swagger验证配置 4.接口jwt验证密钥方法 5.运行就能使用
ASP.NET WEBAPI 的身份验证和授权
weixin_33912638的博客
07-28 2087
定义 身份验证（Authentication）：确定用户是谁。 授权(Authorization)：确定用户能做什么，不能做什么。 身份验证 WebApi 假定身份验证发生在宿主程序称中。对于 web-hosting，宿主是 IIS。这种情况下使用 HTTP Module 进行验证。 验证时，宿主会创建一个表示安全上下文的主体对象（实现 IPrincipal），将它附加到当前线程。主体对...
【ASP.NET Core 认证】JwtBearer认证
weixin_41120428的博客
08-03 1702
试想一下，公司内的多个业务项目都会使用该token，因此，为了让每个项目都可以进行身份认证，就需要将密钥分发给所有项目，这就产生了较大的风险。在HTTP标准验证方案中，我们比较熟悉的是"Basic"和"Digest"，前者将用户名密码使用BASE64编码后作为验证凭证，后者是Basic的升级版，更加安全，因为Basic是明文传输密码信息，而Digest是加密后传输。注意，如果设置了TokenValidationParameters.AudienceValidator，则该参数无论是何值，都会执行。...
Asp.NetCore3.1 WebApi 使用Jwt 授权认证使用
qq_18932003的博客
10-13 677
1：导入NuGet包 Microsoft.AspNetCore.Authentication.JwtBearer 2:配置 jwt相关信息 3：在 startUp中 public void ConfigureServices(IServiceCollection services){ #region JWT 认证 services .AddAuthentication(JwtBearerDefaults.AuthenticationScheme) .AddJwtBearer(options =&gt
.net core webapi 的 JWT 授权认证
rush_peng的博客
06-12 2306
传统的授权认证： 传统验证基于Cookies和Session；但是由于http是无状态的（第一次和第二次发送的http请求没有任何区别），所以这种模式有很多局限，比如在多服务器集群时就无法使用； 和asp.net相比，core的不同，是在实例化类之前，就先进行身份认证，身份认证完了以后，再完成授权； 基于Token的授权认证 下边是基于token验证的流程图： 授权服务器发送的token由私钥加密； API得到的token，用公钥解密； Token令牌的组成： 最终API如何能确定这个token就是
.net6 webapi使用JWT授权认证
qq_43893277的博客
07-24 2524
webapi jwt 授权认证
Asp.net core使用Authentication使用jwt简单登录认证
qq_43014802的博客
08-09 431
webapi使用jwt；研究了两天，简单使用就这些，如果需要token续期或者刷新或者自定义校验处理需要重写比较麻烦。配置jwt所需配置，再appsettings.json文件。在controller中单独获取请求头可使用。使用流程是：先认证登录 -> 再校验权限。安装依赖，.net8版本为例。
ASP.NET Core高级之认证与授权(二)--JWT认证前后端完整实现
物联网大联盟
01-10 3062
本文是一个基于JWT认证的完整的前后端实现代码案例。
ASP.NET Core JWT授权认证详解与实战教程
本文将深入浅出地探讨ASP.NET Core中JWT（JSON Web Tokens）授权认证的流程原理。JWT是一种轻量级的身份验证机制，它利用一个包含用户信息的短令牌进行安全通信，适用于无状态的API和服务间交互。 首先，了解JWT的...
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值