.NET Core支持Cookie和JWT混合认证、授权的方法

下面是详细讲解”.NET Core支持Cookie和JWT混合认证、授权的方法”的完整攻略：

概述

在.NET Core中使用Cookie和JWT混合认证可以相对轻松地完成网站的用户认证和授权。Cookie可以用于存储真实用户的身份，JWT则可以用于保持用户的登录状态。

步骤

步骤一：安装必要的NuGet包

在开始处理混合身份验证之前，我们需要安装Microsoft.AspNetCore.Authentication.Cookies和Microsoft.AspNetCore.Authentication.JwtBearer这两个NuGet包。

可以使用Visual Studio中的NuGet包管理器进行安装，也可以使用 dotnet add package 命令行进行安装。

dotnet add package Microsoft.AspNetCore.Authentication.Cookies
dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer

步骤二：添加Cookie和JWT身份验证配置

在Startup.cs文件中，我们需要配置Cookie和JWT身份验证。示例代码如下：

public void ConfigureServices(IServiceCollection services)
{
    // 配置Cookie身份验证
    services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
        .AddCookie(options =>
        {
            options.LoginPath = "/Account/Login";
            options.AccessDeniedPath = "/Account/Forbidden";
        });

    // 配置JWT身份验证
    services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddJwtBearer(options =>
        {
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = true,
                ValidateAudience = true,
                ValidateLifetime = true,
                ValidateIssuerSigningKey = true,
                ValidIssuer = "yourdomain.com",
                ValidAudience = "yourdomain.com",
                IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:Key"]))
            };
        });

    // 其他服务配置...
}

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 中间件配置...

    // 启用身份验证
    app.UseAuthentication();

    // 其他中间件配置...
}

注意：需要将 Jwt:Key 配置项在 appsettings.json 中添加，然后使用 IConfiguration 注入到 Configure() 方法中。

步骤三：创建登录逻辑

在登录时，我们可以选择使用Cookie和JWT进行混合认证。我们需要根据用户选择的登录方式进行不同的验证方法。

[HttpPost]
public async Task<IActionResult> Login(LoginViewModel model)
{
    if (ModelState.IsValid)
    {
        // 验证用户名和密码
        if (CheckUser(model.UserName, model.Password))
        {
            // 登录成功
            var claims = new List<Claim>
            {
                new Claim(ClaimTypes.Name, model.UserName),
                new Claim(ClaimTypes.Role, GetUserRole(model.UserName))
            };

            // 使用Cookie保持用户身份
            if (model.UseCookie)
            {
                var identity = new ClaimsIdentity(claims, CookieAuthenticationDefaults.AuthenticationScheme);
                var principal = new ClaimsPrincipal(identity);
                await HttpContext.SignInAsync(CookieAuthenticationDefaults.AuthenticationScheme, principal);
            }
            // 使用JWT保持用户身份
            else
            {
                var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:Key"]));
                var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

                var jwtToken = new JwtSecurityToken(
                    issuer: "yourdomain.com",
                    audience: "yourdomain.com",
                    claims: claims,
                    expires: DateTime.Now.AddMinutes(30),
                    signingCredentials: creds);

                var tokenString = new JwtSecurityTokenHandler().WriteToken(jwtToken);

                // 将Token返回给客户端，由客户端保存Token
                return Ok(new { token = tokenString });
            }

            return RedirectToAction("Index", "Home");
        }
    }

    ModelState.AddModelError("", "用户名或密码错误");
    return View(model);
}

在这段代码中，我们使用了 HttpContext.SignInAsync() 方法设置Cookie认证，使用 JwtSecurityTokenHandler().WriteToken() 方法设置JWT认证。例如，如果用户选择了使用JWT进行身份验证，则需要在客户端将JWT Token保存下来，这通常需要使用浏览器内的sessionStorage或localStorage。

步骤四：限制授权

在.NET Core中，可以使用[Authorize]属性限制对受保护的资源的访问。当用户未经身份认证或未被授权时，会重定向到登录页面。

[Authorize]
public IActionResult Profile()
{
    // 获取当前用户的信息
    var identity = (ClaimsIdentity)User.Identity;
    var username = identity.FindFirst(ClaimTypes.Name).Value;
    var role = identity.FindFirst(ClaimTypes.Role).Value;

    // 根据角色返回不同的信息
    var model = new ProfileViewModel { UserName = username };
    if (role == "Admin")
    {
        model.RoleDescription = "管理员";
    }
    else if (role == "User")
    {
        model.RoleDescription = "普通用户";
    }

    return View(model);
}

在这段代码中，我们在方法的开头添加[Authorize]属性，该属性将限制对Profile()方法的访问只有经过身份验证和授权的用户才能访问。

OK，以上这就是“.NET Core支持Cookie和JWT混合认证、授权的方法”的完整攻略，希望能对你有所帮助。