JWT.net 操作实践方法

JSON Web Token（JWT）是一种基于JSON格式的Web Token标准，用于在不信任的环境下对用户进行身份验证和授权。JWT.net是一个C#中的JWT实现库，本篇文章将介绍如何使用JWT.net进行JWT生成、验证、签名等操作。

安装

可以通过NuGet包管理器或者命令行安装JWT.net：

Install-Package System.IdentityModel.Tokens.Jwt

生成JWT

JWT由三部分组成：Header、Payload和Signature。Header指定了加密算法和类型等信息，Payload包含了需要传输的用户信息，Signature是将Header和Payload进行签名后得到的。下面的代码示例演示了如何使用JWT.net生成JWT：

using System.IdentityModel.Tokens.Jwt;

var handler = new JwtSecurityTokenHandler();

// 创建payload
var payload = new JwtPayload {
    { "sub", "1234567890" },
    { "name", "John Doe" },
    { "exp", DateTimeOffset.UtcNow.AddHours(1).ToUnixTimeSeconds() }
};

// 创建header
var header = new JwtHeader(
    new SigningCredentials(
        new SymmetricSecurityKey(Encoding.UTF8.GetBytes("mysupersecretkey")),
        SecurityAlgorithms.HmacSha256
    )
);

// 生成jwt
var token = handler.CreateJwtSecurityToken(header, payload);
var tokenString = handler.WriteToken(token);

这里创建了一个包含sub、name和exp参数的Payload。exp参数用于指定过期时间，这里设置了一小时后过期。再指定签名所需的SymmetricSecurityKey和算法后，调用CreateJwtSecurityToken方法创建JWT，最后使用WriteToken方法将JWT序列化为字符串返回。

验证JWT

在验证JWT之前需要解析JWT，可以使用JwtSecurityTokenHandler的ReadJwtToken方法：

using System.IdentityModel.Tokens.Jwt;

var handler = new JwtSecurityTokenHandler();

var jwt = "<your generated jwt>";

// 验证签名和过期时间
var token = handler.ReadJwtToken(jwt);
var validationParameters = new TokenValidationParameters {
    IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("mysupersecretkey")),
    ValidateIssuerSigningKey = true,
    ValidateIssuer = false,
    ValidateAudience = false,
    ValidateLifetime = true
};
var principal = handler.ValidateToken(jwt, validationParameters, out var _);

这里创建了一个TokenValidationParameters对象，其中IssuerSigningKey设置为生成JWT时使用的密钥，其他参数都为默认值。ValidateToken方法将验证JWT的签名、过期时间等信息，并返回ClaimsPrincipal对象。

示例

下面的示例演示了如何将JWT嵌入到HTTP请求的Header中：

using System.IdentityModel.Tokens.Jwt;
using System.Net.Http;
using System.Net.Http.Headers;

var handler = new JwtSecurityTokenHandler();

var jwt = "<your generated jwt>";

var client = new HttpClient();
client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue(
    "Bearer", jwt
);

var response = await client.GetAsync("https://example.com/api/data");

这里使用Authorization请求头将JWT嵌入到了HTTP请求中，验证JWT时可以从Authorization请求头中提取出JWT并进行验证。另外，为了方便，可以使用ASP.NET Core中的JwtBearer中间件来实现JWT验证。将下面的代码添加到Startup.cs的ConfigureServices方法中即可：

using System.IdentityModel.Tokens.Jwt;
using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.Extensions.DependencyInjection;

services.AddAuthentication(options => {
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
}).AddJwtBearer(options => {
    options.TokenValidationParameters = new TokenValidationParameters {
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("mysupersecretkey")),
        ValidateIssuerSigningKey = true,
        ValidateIssuer = false,
        ValidateAudience = false,
        ValidateLifetime = true
    };
});

这里使用AddJwtBearer方法配置了JWT验证选项，并将其添加到了ASP.NET Core的认证服务中。在需要验证JWT的Controller中，可以使用[Authorize]标记进行身份验证。

总结

本篇文章介绍了如何使用JWT.net进行JWT的生成、验证、签名等操作，并给出了两个示例用于演示JWT的使用。在实际应用中，为了保证JWT的安全和可靠性，需要注意JWT的过期时间、签名算法、密钥等相关细节。