C#开发日记：使用生成的JWT设置资源接口验证

于 2024-08-29 17:05:12 发布
阅读量932 收藏 17
点赞数 20
分类专栏： C# 开发日记 文章标签： c# 依赖倒置原则 asp.net
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_72254790/article/details/141667913
版权

目录

一、注册身份验证服务

二、配置JwtBearer身份验证

2.1 注册JwtBearer认证——AddJwtBearer方法

2.2 Jwt验证选项参数汇总——JwtBearerOptions

三、测试

3.1配置授权

3.2 使用token访问授权接口

继上次“C#开发日记：手把手教你生成JWT” 后：http://t.csdnimg.cn/78CkH

我们这次使用生成的Token为其他接口设置验证，上次使用的命名空间是：Microsoft.IdentityModel.Tokens;

这次需要再安装：Microsoft.AspNetCore.Authentication.JwtBearer

一、注册身份验证服务

在 Microsoft.Extensions.DependencyInjection.IServiceCollection 中注册注册身份验证服务的方法为AddAuthentication，是IServiceCollection的扩展方法。

public static AuthenticationBuilder AddAuthentication(this IServiceCollection services);
public static AuthenticationBuilder AddAuthentication(this IServiceCollection services, string defaultScheme);

public static AuthenticationBuilder AddAuthentication(this IServiceCollection services, Action<AuthenticationOptions> configureOptions);

选择第三个带有action<T>委托的身份验证选项

using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.Extensions.Options;
using Microsoft.IdentityModel.Tokens;
using System.Text;
var builder = WebApplication.CreateBuilder(args);
builder.Services.AddAuthentication(options = >{ 

//身份验证选项 AuthenticationOptions
    options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
    //options.DefaultAuthenticateScheme=...;
    //options.DefaultSignInScheme=...;
    //options.DefaultSignOutScheme=...;
    //options.DefaultChallengeScheme=...;
    //options.DefaultForbidScheme=...,
    //options.RequireAuthenticatedSignIn=...;

})

二、配置JwtBearer身份验证

2.1 注册JwtBearer认证——AddJwtBearer方法

如果使用默认方案Microsoft.AspNetCore.Authentication.JwtBearer.JwtBearerDefaults.AuthenticationScheme

来启用 JwtBearer认证通过调用 重载2 AddJwtBearer("Bearer", delegate{});来指定默认。

AddJwtBearer的部分定义如下：

public static class JwtBearerExtensions
{
    // 默认方案
    public static AuthenticationBuilder AddJwtBearer(this AuthenticationBuilder builder)
    {
       //使用如下方法重载
        return builder.AddJwtBearer("Bearer", delegate
        {
        });
    }
... 省略其他

        //重载1

        public static AuthenticationBuilder AddJwtBearer(this AuthenticationBuilder builder, string authenticationScheme, Action<JwtBearerOptions> configureOptions)
    {
        return builder.AddJwtBearer(authenticationScheme, null, configureOptions);
    }
    // 重载2

    public static AuthenticationBuilder AddJwtBearer(this AuthenticationBuilder builder, string authenticationScheme, string? displayName, Action<JwtBearerOptions> configureOptions)
    {
        builder.Services.TryAddEnumerable(ServiceDescriptor.Singleton<IConfigureOptions<JwtBearerOptions>, JwtBearerConfigureOptions>());
        builder.Services.TryAddEnumerable(ServiceDescriptor.Singleton<IPostConfigureOptions<JwtBearerOptions>, JwtBearerPostConfigureOptions>());
        return builder.AddScheme<JwtBearerOptions, JwtBearerHandler>(authenticationScheme, displayName, configureOptions);
    }


}

可以看出默认AddJwtBearer会调用其重载1方法，输入字符串参数和又一个JwtBearerOptions类型的Action<T>委托，然后返回一个重载2：

AddJwtBearer(authenticationScheme, null, configureOptions);

参数分别是：

  • 身份验证方案名称（string）: authenticationScheme
  • 身份验证处理程序的显示名称（可选）: null
  • 允许配置 Microsoft.AspNetCore.Authentication.JwtBearer.JwtBearerOptions 的委托: configureOptions

返回验证构造器的引用—— AddScheme，它是第一章节中"注册身份验证服务"用到的AuthenticationBuilder类自身的 AddScheme方法，它用于添加一项特定类型的身份验证机制。

builder.AddScheme<JwtBearerOptions, JwtBearerHandler>(authenticationScheme, null, configureOptions);

已知就只剩JwtBearerOptions类型的action<T>委托configureOptions还未设置值，利用AddJwtBearer返回的引用（AddScheme），在第一章 注册身份验证服务的基础上来配置JwtBearerOptions选项类。

using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.Extensions.Options;
using Microsoft.IdentityModel.Tokens;
using System.Text;

var builder = WebApplication.CreateBuilder(args);
builder.Services.AddAuthentication(options => { options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme; })
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuer = "dlht",
            ValidateAudience = false,
            ValidateIssuerSigningKey = true,
            IssuerSigningKey =
                new SymmetricSecurityKey(
                    Encoding.UTF8.GetBytes(builder.Configuration.GetSection("JWT_SECRET_KEY").Value!)),
            ValidateLifetime = true,
            RequireExpirationTime = true,
            ClockSkew = TimeSpan.FromSeconds(30)
        };

        options.SaveToken = true;
        options.Events = new JwtBearerEvents
        {
            OnMessageReceived = context =>
            {
                var accessToken = context.Request.Query["access_token"];

                if (!string.IsNullOrEmpty(accessToken))
                {
                    context.Token = accessToken;
                }

                return Task.CompletedTask;
            },
            OnAuthenticationFailed = context =>
            {
                var e = context.Exception;
                return Task.CompletedTask;
            }
        };
    });

2.2 Jwt验证选项参数汇总——JwtBearerOptions

为了记忆理解上述行为配置的含义，我总结了JwtBearerOptions选项类的属性和其行为：

属性名类型默认值摘要/行为描述
RequireHttpsMetadatabooltrue是否需要HTTPS进行元数据地址或权限的访问，默认为true。
MetadataAddressstring无默认值获取元数据的发现端点。
Authoritystring?null进行OpenIdConnect调用时使用的权限。
Audiencestring?null接收到的OpenIdConnect令牌的单个有效受众值。
Challengestring"Bearer"放在"WWW-Authenticate"头中的挑战。
EventsJwtBearerEvents无默认值由应用程序提供的处理由承载认证处理器引发的事件的对象。
BackchannelHttpHandlerHttpMessageHandler?null用于检索元数据的HttpMessageHandler。
BackchannelHttpClient无默认值用于检索元数据的后端通道。
BackchannelTimeoutTimeSpan1分钟使用后端通道进行HTTP调用时的超时时间。
ConfigurationOpenIdConnectConfiguration?null直接由开发者提供的配置。如果提供，则不会使用MetadataAddress和后端通道属性。
ConfigurationManagerIConfigurationManager<OpenIdConnectConfiguration>?null负责从元数据中检索、缓存和刷新配置。如果没有提供，则会使用MetadataAddress和后端通道属性创建一个。
RefreshOnIssuerKeyNotFoundbooltrue在SecurityTokenSignatureKeyNotFoundException之后是否尝试刷新元数据。
SecurityTokenValidatorsIList<ISecurityTokenValidator>一个包含_defaultHandler的列表用于验证访问令牌的ISecurityTokenValidator列表。已过时，建议使用TokenHandlers。
TokenHandlersIList<TokenHandler>一个包含_defaultTokenHandler的列表用于验证访问令牌的TokenHandler列表。
TokenValidationParametersTokenValidationParameters新实例用于验证身份令牌的参数。
SaveTokenbooltrue定义在成功授权后，是否应该在AuthenticationProperties中存储承载令牌。
IncludeErrorDetailsbooltrue定义是否应该将令牌验证错误返回给调用者。默认启用。
MapInboundClaimsbooltrue定义是否应该将提取的JSON声明的名称映射为声明类型。
AutomaticRefreshIntervalTimeSpan默认自动刷新间隔自动刷新元数据的频率。
RefreshIntervalTimeSpan默认刷新间隔在检索失败或显式请求刷新的情况下，两次检索之间的最小时间。
UseSecurityTokenValidatorsboolfalse定义是使用TokenHandlers还是SecurityTokenValidators来验证传入的令牌。

okenValidationParameters 类在 ASP.NET Core 身份验证框架中用于定义验证 JWT（JSON Web Tokens）时所需的参数。

属性名类型默认行为/摘要描述
AlgorithmValidatorFunc<string, bool>验证签名算法的委托，用于确定是否接受令牌使用的特定签名算法。
ActorValidationParametersTokenValidationParameters用于验证令牌中的 Actor 声明的参数。
AudienceValidatorFunc<IEnumerable<string>, bool>验证受众（Audience）声明的委托。
ClockSkewTimeSpan允许的时钟偏差，用于调整令牌的过期时间，以处理时钟不同步的情况。
ConfigurationManagerIConfigurationManager<OpenIdConnectConfiguration>用于配置管理的接口，例如用于OpenID Connect配置。
CryptoProviderFactoryICryptoProviderFactory用于创建加密提供者的工厂。
IssuerSigningKeySecurityKey用于验证令牌签名的密钥。
IssuerSigningKeysIEnumerable<SecurityKey>用于验证签名的密钥集合。
IssuerSigningKeyResolverFunc<TokenValidationContext, IEnumerable<SecurityKey>, IEnumerable<SecurityKey>>用于解析发行者签名密钥的委托。
IssuerValidatorFunc<string, bool>验证令牌中的发行者（Issuer）声明的委托。
LifetimeValidatorFunc<DateTime?, DateTime?, bool>验证令牌生命周期的委托。
NameClaimTypestring用于识别名称声明的类型。
PropertyBagIDictionary<string, object>一个属性包，用于存储额外的配置信息。
RequireAudiencebool是否要求令牌中包含受众声明。
RequireExpirationTimebool是否要求令牌中包含过期时间声明。
RequireSignedTokensbool是否要求令牌必须被签名。
RoleClaimTypestring用于识别角色声明的类型。
SaveSigninTokenbool在身份验证成功后是否保存签名令牌。
TokenReaderITokenReader用于读取令牌的接口。
TokenReplayCacheITokenReplayCache用于防止令牌重放的缓存。
TokenReplayValidatorFunc<TokenReplayValidationResult>用于验证令牌是否被重放的委托。
TryAllIssuerSigningKeysbool是否尝试使用所有发行者签名密钥来验证签名。
TypeValidatorFunc<string, bool>验证令牌类型（如 JWT）的委托。
ValidateActorbool是否验证 Actor 声明。
ValidateAudiencebool是否验证受众声明。
ValidateIssuerbool是否验证发行者声明。
ValidateIssuerSigningKeybool是否验证发行者签名密钥。
ValidateLifetimebool是否验证令牌的生命周期。
ValidateSignatureLastbool是否在验证其他所有声明之后验证签名。
ValidateTokenReplaybool是否验证令牌是否被重放。
ValidateWithLKGbool是否使用最后已知良好的（Last Known Good）配置来验证令牌。
ValidAlgorithmsIEnumerable<string>接受的签名算法列表。
ValidAudiencestring单个有效的受众声明。
ValidAudiencesIEnumerable<string>有效的受众声明列表。
ValidIssuerstring单个有效的发行者声明。
ValidIssuersIEnumerable<string>有效的发行者声明列表。
ValidTypesIEnumerable<string>接受的令牌类型列表。

2.3 添加授权到指定控制器

builder.Services.AddAuthorization(configure =>
{
    configure.AddPolicy("Api", policy => policy.RequireClaim("AuthType", "Api"));
    configure.AddPolicy("User", policy => policy.RequireClaim("AuthType", "User"));

});

三、测试

3.1配置授权

[Route("api/[controller]")]

[ApiController]
public class UserController(IUserService _userService) : ControllerBase
{
        [Authorize(Policy = "User")] /*一定要添加授权码，不添加接口无法被保护*/
        [HttpPost("[action]")]
        public async Task<IActionResult> Updata(USER_Test users)
        {
            var result=await _userService.Updata(users);
            return Ok(result);
        }
}

我使用了更新用户名与密码的接口，然后正确的得到了未授权的401错误，说明我们的token已经配置成功啦！

3.2 使用token访问授权接口

登录获取token

使用接口测试工具填入token

访问授权更新接口

成功！！！

鱼在在
关注
专栏目录
JWT Token生成及验证
11-03
请参考博客：http://www.cnblogs.com/chenwolong/p/Token.html
c# .net core项目中使用JWT进行权限校验
不积跬步，无以至千里；不积小流，无以成江海；千里之行，始于足下
08-03 410
JWT（JSON Web Token）是一种开放标准（RFC 7519），它提供了一种在网络应用间安全传输信息的简洁、自包含的方式。JWT主要用于身份验证和授权机制，是一种轻量级的、可扩展的、自包含的身份验证和授权解决方案。
C#开发日记：手把手教你生成JWT
最新发布
weixin_72254790的博客
08-29 1425
JWT（JSON Web Token）是一种用于在网络应用环境间传递声明的一种紧凑的、URL安全的方式。它由三部分组成：Header（头部）、Payload（负载）和Signature（签名）。一般是user id(用户唯一的身份标识)、time(当前时间的时间戳)、sign（签名，token的前几位以哈希算法压缩成的一定长度的十六进制字符串。为防止token泄露）。
C# JWT权限验证
m0_59504468的博客
08-05 4061
通过项目调试，发现我们之前的Email参数被改名了，原本是JwtRegisteredClaimNames变成了ClaimTypes的声明方法，这就需要解除，.NetCore自己的映射匹配，使用JWT，在ConfigureServices加上。//密钥大小要超过128bt，最少要16位。audience:"http://localhost:5000",//订阅：我们需要谁去使用这个Token。issuer:"http://localhost:5000",//发起人：当前项目。......
C#分布式登录——jwt
逆-血
01-12 5546
文章目录一、传统的session登录二、基于token的鉴权机制三、Json web token1.生成jwt数据2.jwt解析验证四、JWT的问题 一、传统的session登录 在服务器存储一份用户登录的信息，这份登录信息会在响应时传递给浏览器，告诉其保存为cookie,以便下次请求时发送给我们的应用，这样我们的应用就能识别请求来自哪个用户了,这就是传统的基于session认证。 在asp.net core中可以简单实现： 代码如下（示例）： // This method gets called b
C# 生成JWT的Token
Jessyzhao_0的博客
10-13 1025
【代码】C# 生成JWT的Token。
Java中使用JWT生成Token进行接口鉴权实现方法
08-25
Java中使用JWT生成Token进行接口鉴权实现方法 Java中使用JWT生成Token进行接口鉴权实现方法是当前最流行的鉴权方式之一。通过本文，读者可以了解到使用JWT生成Token进行接口鉴权的详细实现方法。 什么是JWT？ JWT...
AuthenticationJWT：使用JWT令牌的用户身份验证和授权
02-14
在C#中，我们可以使用`System.IdentityModel.Tokens.Jwt`库来创建和验证JWT。首先，我们需要设置一个密钥（secret key）和一系列声明（claims），然后创建JWT。例如： ```csharp var secretKey = Encoding.UTF8....
C#实现JWT无状态验证的实战应用
chinaherolts2008的博客
03-01 703
前言 本文主要介绍JWT的实战运用。 准备工作 首先我们创建python基础教程一个Asp.Net的，包含MVC和WebApi的Web项目。 然后使用Nuget搜索JWT，安装JWT类库，如下图。 设计思路 这里我们简单的做了一个token验证的设计，设计思路如下图所示： 代码实现 缓存 首先，我们先开发工具类，根据设计思c#教程路图可得知，我们需要一个缓存类，用于在服务器端存储token。 编写缓存相关类代码如下： public class CacheHelper { public sta
c#关于JWT跨域身份验证的实现代码
01-01
JSON Web Token（JWT）是目前最流行的跨域身份验证解决方案。为了网络应用环境间传递声明而执行的一种基于JSON的开发标准（RFC 7519）， 该token被设计为紧凑且安全的，特别适用于分布式站点的单点登陆（SSO）场景。JWT的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息， 以便于从资源服务器获取资源，该token也可直接被用于认证，也可被加密。 一、JWT的组成 下面是JWT的一段示例，分为三个部分，分别是头部（header），载荷（payload）}和签证（signature），他们之间用点隔开。 eyJ0eXAiOiJKV1QiLCJhbGciOi
c# JSON WEB TOKEN JWT.dll
07-18
生成token工具，webapi 接口 token JWT的Web API身份验证Json Web Token(jwt)是一种不错的身份验证及授权方案，简单的说就是调用端调用api时，附带上一个由api端颁发的token，以此来验证调用者的授权信息。
JWT(json web token加密算法) for C# dll 文件，亲测可用
07-02
json web token for C# dll文件，亲测可用，直接添加引用即可
C# 中 JWT 原理，如何生成，如何校验
m0_51005282的博客
11-12 1068
JWT 把登录信息（令牌），保存在客户端，这样可以有效的解决 Session 在分布式集群环境用户认证的问题。使用服务端自定义的密钥对保存在客户端的令牌进行签名处理，每次服务端接收到客户端提交过来的令牌都需要检查下签名，验证用户身份。
C#JWT验证
weixin_30753873的博客
05-31 2695
using System;using System.Collections.Generic;using System.Linq;using System.Text;using System.Threading.Tasks;using System.Threading;using JWT;using Newtonsoft.Json; namespace ConsoleApplication39{ ...
【转载】C#集成JWT快速入门
SS33SSS的博客
04-23 930
JSON Web Token（JWT）是一种开放标准（RFC 7519），它定义了一种紧凑的、自包含的方式，用于在双方之间安全地传输信息作为JSON对象。这通常是在服务端进行的，可以通过检查特定的声明（如。：JWT提供了一种安全、灵活的方式来传输用户信息，并可以用于身份验证和授权。如果是，那么我们就认为用户是管理员，并允许其访问受保护的资源；，它包含了JWT的主题（即用户信息）、过期时间以及签名凭据。包含了验证JWT所需的所有参数，如签名密钥等。实例，该实例包含了JWT中的所有声明；然后，我们定义了一个。
C#类库 JWT校验
wgq2020的博客
10-25 430
如果JWT是合法的，ValidateToken方法将返回一个ClaimsPrincipal对象，该对象包含JWT中的Claims信息。JSON Web Tokens（JWT）是一种安全的、轻量级的、URL安全的方式用来传递信息，它是一个规范，目的是在各方之间安全地传输声明信息。以上是使用C#类库JWT进行校验的示例代码和详解。在实际开发中，我们可以把生成JWT和校验JWT的代码封装成方法，方便使用。C#类库JWT提供了方便的JWT生成和校验功能，下面是使用C#类库JWT进行校验的代码示例和详解。
理解JWT：生成与验证Token的关键步骤
JWT 生成Token及验证的PDF文件详细介绍了JWT的使用方式，包括如何创建、传递和验证JWT，是理解和应用JWT的一个重要参考资料。对于需要理解Web安全和身份验证的开发者来说，这份资料非常有价值。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值