ASP.NET Core深度解析：令牌认证实践与JWT集成

1星 41 浏览量更新于2024-08-31 收藏 81KB PDF 举报

本文详细解析了ASP.NET Core中的Token认证过程，特别是在移动应用和单页应用中的广泛应用。ASP.NET Core的Token认证机制允许开发者享受诸如服务端数据管理简化、可扩展性和认证服务器与应用服务器分离等优势。它基于JWT（Json Web Tokens）实现，这是一种常见的认证方式，通过HTTP认证头（Authorization: Bearer [token]）进行传递。首先，生成安全密钥是关键步骤，作者使用了一个示例，通过HMAC-SHA256算法创建一个对称密钥。在`Startup.cs`文件中，定义了一个私有字符串作为密钥，然后实例化一个`SymmetricSecurityKey`对象。这个密钥通常存储在服务器上，仅由服务器知道，确保了安全性。对于JWT的验证，ASP.NET Core提供了一个便捷的途径。在`Startup.cs`中，通过`UseJwtBearerAuthentication`方法集成JWT验证功能。该方法允许设置受保护的API或MVC路由，使得客户端在访问这些资源时必须带有有效的JWT。验证过程会检查Header中携带的JWT，确认其签名是否正确且未过期。值得注意的是，JWT可以选择使用Header还是Cookie来传递，但移动应用通常倾向于使用Header，而Web应用则推荐在HTML5 Storage（如localStorage）中存储Cookie以避免XSS攻击。这展示了ASP.NET Core对不同场景的适应性，同时也强调了开发者在实际应用中根据需求选择合适的方式。源代码链接提供了完整的实现细节，读者可以通过下载获取并根据自己的项目需求进行定制。ASP.NET Core的Token认证提供了灵活且易于集成的解决方案，适用于各种类型的Web应用，并且允许开发者保持较高的控制度。

详解详解ASP.NET Core Token认证认证

主要介绍了详解ASP.NET Core Token认证,小编觉得挺不错的，现在分享给大家，也给大家做个参考。

令牌认证（Token Authentication）已经成为单页应用（SPA）和移动应用事实上的标准。即使是传统的B/S应用也能利用其优点。优点很明白：极少的服务端数据管理、可扩展性、可以使用单独的认证

服务器和应用服务器分离。

如果你对令牌（token）不是太了解，可以看这篇文章（ overview of token authentication and JWTs）

令牌认证在asp.net core中集成。其中包括保护Bearer Jwt的路由功能，但是移除了生成token和验证token的部分，这些可以自定义或者使用第三方库来实现，得益于此，MVC和Web api项目可以使用令

牌认证，而且很简单。下面将一步一步实现，代码可以在（源码）下载。

ASP.NET Core令牌验证令牌验证

首先，背景知识：认证令牌，例如JWTs，是通过http 认证头传递的，例如：

GET /foo

Authorization: Bearer [token]

令牌可以通过浏览器cookies。传递方式是header或者cookies取决于应用和实际情况，对于移动app，使用headers，对于web，推荐在html5 storage中使用cookies，来防止xss攻击。

asp.net core对jwts令牌的验证很简单，特别是你通过header传递。

1、生成 SecurityKey，这个例子，我生成对称密钥验证jwts通过HMAC-SHA256加密方式，在startup.cs中：

// secretKey contains a secret passphrase only your server knows

var secretKey = "mysupersecret_secretkey!123";

var signingKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes(secretKey));

验证验证 header中传递的中传递的JWTs

在 Startup.cs中，使用Microsoft.AspNetCore.Authentication.JwtBearer中的UseJwtBearerAuthentication 方法获取受保护的api或者mvc路由有效的jwt。

var tokenValidationParameters = new TokenValidationParameters

{

// The signing key must match!

ValidateIssuerSigningKey = true,

IssuerSigningKey = signingKey,

// Validate the JWT Issuer (iss) claim

ValidateIssuer = true,

ValidIssuer = "ExampleIssuer",

// Validate the JWT Audience (aud) claim

ValidateAudience = true,

ValidAudience = "ExampleAudience",

// Validate the token expiry

ValidateLifetime = true,

// If you want to allow a certain amount of clock drift, set that here:

ClockSkew = TimeSpan.Zero

};

app.UseJwtBearerAuthentication(new JwtBearerOptions

{

AutomaticAuthenticate = true,

AutomaticChallenge = true,

TokenValidationParameters = tokenValidationParameters

});

通过这个中间件，任何[Authorize]的请求都需要有效的jwt：

签名有效；

过期时间；

有效时间；

Issuer 声明等于“ExampleIssuer”

订阅者声明等于 “ExampleAudience”

如果不是合法的JWT，请求终止，issuer声明和订阅者声明不是必须的，它们用来标识应用和客户端。

在在cookies中验证中验证JWTs

ASP.NET Core中的cookies 认证不支持传递jwt。需要自定义实现 ISecureDataFormat接口的类。现在，你只是验证token，不是生成它们，只需要实现Unprotect方法，其他的交给

System.IdentityModel.Tokens.Jwt.JwtSecurityTokenHandler这个类处理。

using System;

using System.IdentityModel.Tokens.Jwt;

using System.Security.Claims;

using Microsoft.AspNetCore.Authentication;

using Microsoft.AspNetCore.Http.Authentication;

using Microsoft.IdentityModel.Tokens;

namespace SimpleTokenProvider

{

public class CustomJwtDataFormat : ISecureDataFormat<AuthenticationTicket>

{

private readonly string algorithm;

private readonly TokenValidationParameters validationParameters;

public CustomJwtDataFormat(string algorithm, TokenValidationParameters validationParameters)

{

this.algorithm = algorithm;

this.validationParameters = validationParameters;

}

public AuthenticationTicket Unprotect(string protectedText)

=> Unprotect(protectedText, null);

public AuthenticationTicket Unprotect(string protectedText, string purpose)

{

var handler = new JwtSecurityTokenHandler();

ClaimsPrincipal principal = null;

SecurityToken validToken = null;

try

{

principal = handler.ValidateToken(protectedText, this.validationParameters, out validToken);

var validJwt = validToken as JwtSecurityToken;

if (validJwt == null)

{

throw new ArgumentException("Invalid JWT");

}

if (!validJwt.Header.Alg.Equals(algorithm, StringComparison.Ordinal))

{

throw new ArgumentException($"Algorithm must be '{algorithm}'");

下载后可阅读完整内容，剩余3页未读，立即下载

weixin_38736652

粉丝: 1
资源: 938

ASP.NET Core深度解析：令牌认证实践与JWT集成

基于ASP.NET Core数据保护生成验证token示例

asp微信 token 换取 微信分享 微信支付代码

详解ASP.NET Core中配置监听URLs的五种方式

详解ASP.NET Core Web Api之JWT刷新Token

详解ASP.NET与ASP.NET Core用户验证Cookie并存解决方案

详解在ASP.NET Core中使用Angular2以及与Angular2的Token base身份认证

js-cookie设置token过期时间_详解ASP.NET Core Web Api之JWT刷新Token_实用技巧

详解c# .net core 下的网络请求

【ASP.NET编程知识】ASP.NET Core学习之使用JWT认证授权详解.docx

【ASP.NET编程知识】.net core webapi jwt 更为清爽的认证详解.docx

最新资源

asp微信 token 换取微信分享微信支付代码