ASP.NET Core学习之使用JWT认证授权详解

在ASP.NET Core应用程序中，JWT（JSON Web Token）是一种流行的认证和授权机制。JWT是一种安全的、基于标准的方法，用于在客户端和服务器之间传递信息。本攻略将深入探讨如何在ASP.NET Core中使用JWT进行认证和授权，并提供两个示例说明。

安装JWT

在ASP.NET Core应用程序中，您需要安装Microsoft.AspNetCore.Authentication.JwtBearer包。您可以使用NuGet包管理器或命令行来安装它。

dotnet add Microsoft.AspNetCore.Authentication.JwtBearer

配置JWT

在ASP.NET Core应用程序中，您需要配置JWT。您可以在Startup.cs文件中添加以下代码：

public void ConfigureServices(IServiceCollection services)
{
    // 添加身份验证服务
    services.AddAuthentication(options =>
    {
        options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
    })
    // 添加JWT Bearer服务
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = Configuration["Jwt:Issuer"],
            ValidAudience = Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:SecretKey"]))
        };
    });

    // 添加授权服务
    services.AddAuthorization(options =>
    {
        options.AddPolicy("Admin", policy => policy.RequireClaim("Role", "Admin"));
        options.AddPolicy("User", policy => policy.RequireClaim("Role", "User"));
    });

    // 添加MVC服务
    services.AddMvc();
}

在上面的代码中，我们添加了身份验证服务和JWT Bearer服务，并配置了TokenValidationParameters。我们还添加了授权服务，并定义了两个策略：Admin和User。

生成JWT

在ASP.NET Core应用程序中，您需要生成JWT。您可以使用以下代码生成JWT：

var claims = new[]
{
    new Claim(JwtRegisteredClaimNames.Sub, "1234567890"),
    new Claim(JwtRegisteredClaimNames.Email, "[e-mail]"),
    new Claim("Role", "Admin")
};

var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:SecretKey"]));
var credentials = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

var token = new JwtSecurityToken(
    issuer: Configuration["Jwt:Issuer"],
    audience: Configuration["Jwt:Audience"],
    claims: claims,
    expires: DateTime.Now.AddMinutes(30),
    signingCredentials: credentials);

var encodedToken = new JwtSecurityTokenHandler().WriteToken(token);

在上面的代码中，我们创建了一个名为claims的声明数组，并使用SymmetricSecurityKey和SigningCredentials创建了一个JWT。我们还定义了JWT的过期时间，并使用JwtSecurityTokenHandler将JWT编码为字符串。

使用JWT进行身份验证

在ASP.NET Core应用程序中，您可以使用JWT进行身份验证。您可以在控制器中添加以下代码：

[Authorize]
[HttpGet]
public IActionResult Get()
{
    var identity = HttpContext.User.Identity as ClaimsIdentity;
    var role = identity.FindFirst("Role").Value;

    return Ok($"Hello, {role}!");
}

在上面的代码中，我们使用Authorize属性来标记控制器，并使用HttpContext.User.Identity获取用户身份。我们还获取了用户的角色，并返回一个包含角色的欢迎消息。

使用JWT进行授权

在ASP.NET Core应用程序中，您可以使用JWT进行授权。您可以在控制器中添加以下代码：

[Authorize(Policy = "Admin")]
[HttpGet]
public IActionResult Get()
{
    return Ok("Hello, Admin!");
}

在上面的代码中，我们使用Authorize属性和Policy属性来标记控制器，并指定Admin策略。只有具有Admin角色的用户才能访问此控制器。

结论

在本攻略中，我们深入讨了如何在ASP.NET Core中使用JWT进行认证和授权，并提供了两个示例说明。通过遵循这些步骤，您应该能够成功使用JWT来保护您的ASP.NET Core应用程序。