.NET 中实现 JWT 认证：详细指南
在现代的 Web 应用开发中，安全认证是至关重要的一环。JSON Web Token（JWT）作为一种广泛使用的认证机制，为 API 提供了安全、便捷的身份验证方式。本文将详细介绍如何在 ASP.NET Core 项目中实现 JWT 认证。
一、JWT 简介
JWT 是一种用于在网络应用间安全传输信息的开放标准（RFC 7519）。它以 JSON 对象的形式在各方之间安全地传输声明。JWT 通常由三部分组成：头部（Header）、负载（Payload）和签名（Signature）。这种结构使得 JWT 可以在客户端和服务器之间安全地传递用户信息，并且可以通过签名验证信息的完整性。
二、实现步骤
1. 安装必要的 NuGet 包
在 ASP.NET Core 项目中，我们需要安装 Microsoft.AspNetCore.Authentication.JwtBearer 包。这个包提供了实现 JWT 认证所需的核心功能。可以通过 Visual Studio 的 NuGet 包管理器或者使用命令行工具来安装：
dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer
2. 配置 JWT 认证服务
在 Startup.cs 文件的 ConfigureServices 方法中，我们需要配置 JWT 认证服务。这一步主要是设置令牌验证参数，确保接收到的 JWT 是合法的。
public void ConfigureServices(IServiceCollection services)
{
// 其他服务配置...
services.AddAuthentication(options =>
{
options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(options =>
{
options.TokenValidationParameters = new TokenValidationParameters
{
ValidateIssuer = true,
ValidateAudience = true,
ValidateLifetime = true,
ValidateIssuerSigningKey = true,
ValidIssuer = Configuration["Jwt:Issuer"], // 发行人，例如: "https://yourdomain.com"
ValidAudience = Configuration["Jwt:Audience"], // 受众，例如: "https://yourdomain.com/api"
IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:SecretKey"])) // 安全密钥
};
});
// 其他服务配置...
}
同时，我们需要在 appsettings.json 文件中配置 JWT 的发行人、受众和密钥：
{
"Jwt": {
"Issuer": "",
"Audience": "",
"SecretKey": "" // 请确保这是一个安全的密钥
}
}
这里的配置是 JWT 认证的基础，发行人、受众和密钥的正确设置可以确保令牌的合法性和安全性。
3. 在管道中启用认证和授权中间件
在 Startup.cs 的 Configure 方法中，我们需要调用 UseAuthentication 和 UseAuthorization 方法来启用认证和授权中间件。
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
// 其他中间件配置...
app.UseAuthentication(); // 启用认证中间件
app.UseAuthorization(); // 启用授权中间件
app.UseEndpoints(endpoints =>
{
endpoints.MapControllers();
});
}
这一步确保了在请求处理过程中，会对请求进行认证和授权检查。
4. 生成 JWT 令牌
在用户登录成功后，我们需要生成 JWT 令牌。通常，我们会创建一个服务类来处理令牌的生成。
public class TokenService
{
private readonly IConfiguration _configuration;
public TokenService(IConfiguration configuration)
{
_configuration = configuration;
}
public string GenerateJwtToken(string username)
{
var claims = new List<Claim>
{
new Claim(JwtRegisteredClaimNames.Sub, username),
new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
// 可以添加其他自定义声明...
};
var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_configuration["Jwt:SecretKey"]));
var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
var token = new JwtSecurityToken(
issuer: _configuration["Jwt:Issuer"],
audience: _configuration["Jwt:Audience"],
claims: claims,
expires: DateTime.UtcNow.AddDays(1), // 设置过期时间
signingCredentials: creds);
return new JwtSecurityTokenHandler().WriteToken(token);
}
}
在这个服务类中，我们创建了一个包含用户信息的声明列表，并使用配置的密钥对令牌进行签名。
5. 使用 JWT 令牌保护 API 端点
为了保护 API 端点，我们可以在控制器或操作方法上使用 [Authorize] 属性。
[ApiController]
[Route("api/[controller]")]
[Authorize] // 需要认证才能访问此控制器中的端点
public class MyProtectedController : ControllerBase
{
// 控制器操作方法...
}
这样，只有携带有效 JWT 令牌的请求才能访问这些受保护的端点。
6. 客户端发送 JWT 令牌
客户端在发送请求到受保护的 API 端点时，需要在 HTTP 请求的 Authorization 头中包含 JWT 令牌。令牌通常以 Bearer 前缀开始。
例如，使用 JavaScript 的 fetch API 发送请求：
const token = 'your_jwt_token';
fetch('https://your-api.com/api/protected', {
headers: {
'Authorization': `Bearer ${token}`
}
})
.then(response => response.json())
.then(data => console.log(data));
三、总结
通过以上步骤，我们可以在 ASP.NET Core 项目中实现 JWT 认证。JWT 认证提供了一种无状态的认证方式，使得 API 可以在分布式系统中更安全、更高效地进行身份验证。在实际应用中，我们还需要注意密钥的安全管理，以及令牌的过期时间设置，以确保系统的安全性。同时，客户端在使用 JWT 令牌时，也需要妥善管理令牌，避免令牌泄露带来的安全风险。希望本文对你在 .NET 中实现 JWT 认证有所帮助。
======================================================================
前些天发现了一个比较好玩的人工智能学习网站，通俗易懂，风趣幽默，可以了解了解AI基础知识，人工智能教程，不是一堆数学公式和算法的那种，用各种举例子来学习，读起来比较轻松，有兴趣可以看一下。
人工智能教程
