关于asp.net-core:手把手教你AspNetCore-WebApi认证与授权

5次阅读

共计 2840 个字符，预计需要花费 8 分钟才能阅读完成。

这几天小明又有懊恼了，之前给小红的接口没有做认证受权，间接裸奔在线上，被马老板发现后狠狠的骂了一顿，连忙让小明把受权加上。连忙 Baidu 一下，发现大家都在用 JWT 认证受权，这个倒是挺适宜本人的。

Token 是服务端生成的一串字符串，以作客户端进行申请的一个令牌，当第一次登录后，服务器生成一个 Token 便将此 Token 返回给客户端，当前客户端只需带上这个 Token 前来申请数据即可，无需再次带上用户名和明码。

Json web token (JWT), 是为了在网络应用环境间传递申明而执行的一种基于 JSON 的凋谢规范（(RFC 7519). 该 token 被设计为紧凑且平安的，特地实用于分布式站点的单点登录（SSO）场景。JWT 的申明个别被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也能够减少一些额定的其它业务逻辑所必须的申明信息，该 token 也可间接被用于认证，也可被加密。

从图中能够看出次要有两局部组成：1、获取 Token，2、通过 Token 进行受权。

首先，装置 JwtBearer 包。

dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer --version 3.1.0

接下来 ，定义一个配置类，我这里为了简略间接用常量代替了，你也能够放在配置文件中。

public class TokenParameter
{        
    public const string Issuer = "深度码农";// 颁发者        
    public const string Audience = "深度码农";// 接收者        
    public const string Secret = "1234567812345678";// 签名秘钥        
    public const int AccessExpiration = 30;//AccessToken 过期工夫（分钟）}

接下来 ，定义一个通过用户名和明码，获取 Token 的控制器。

[Route("api/oauth")]
[ApiController]
public class OAuthController : ControllerBase
{
    /// <summary>
    /// 获取 Token
    /// </summary>
    /// <returns></returns>
    [HttpGet]
    [Route("token")]
    public ActionResult GetAccessToken(string username, string password)
    {
        // 这儿在做用户的帐号密码校验。我这儿略过了。if (username != "admin" || password != "admin")
            return BadRequest("Invalid Request");

        var claims = new[]
        {new Claim(ClaimTypes.Name, username),
            new Claim(ClaimTypes.Role, ""),
        };

        var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(TokenParameter.Secret));
        var credentials = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
        var jwtToken = new JwtSecurityToken(TokenParameter.Issuer, TokenParameter.Audience, claims, expires: DateTime.UtcNow.AddMinutes(TokenParameter.AccessExpiration), signingCredentials: credentials);
        var token = new JwtSecurityTokenHandler().WriteToken(jwtToken);

        return Ok(token);
    }
}

接下来 ，增加 Token 身份认证到容器（Startup.ConfigureServices）。

services.AddAuthentication(x =>
{
    x.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    x.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
}).AddJwtBearer(x =>
{
    x.RequireHttpsMetadata = false;
    x.SaveToken = true;
    x.TokenValidationParameters = new TokenValidationParameters
    {                    
        ValidateIssuerSigningKey = true,// 是否调用对签名 securityToken 的 SecurityKey 进行验证
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes(TokenParameter.Secret)),// 签名秘钥
        ValidateIssuer = true,// 是否验证颁发者
        ValidIssuer = TokenParameter.Issuer, // 颁发者
        ValidateAudience = true, // 是否验证接收者
        ValidAudience = TokenParameter.Audience,// 接收者
        ValidateLifetime = true,// 是否验证生效工夫
    };
});

接下来 ，增加身份认证到中间件（Startup.Configure）。

app.UseAuthentication();// 必须在 app.UseAuthorization(); 之前

接下来 ，控制器须要受权管制的增加 [Authorize]。

[HttpGet("{id}")]
[Authorize]
public async Task<ActionResult<Todo>> GetTodo(Guid id)
{var todo = await context.Todo.FindAsync(id);

    if (todo == null)
    {return NotFound();
    }

    return todo;
}

最初，咱们测试一下接口，成果如下。

这时会返回 401，因为身份认证没有通过，阐明身份验证起成果了。

接下来咱们拜访一下 GetAccessToken 接口，拿到 Token，在拜访 GetTodo 接口时放入 Token，咱们能够看到拜访胜利了。

目前为止，小明把受权认证搞定了，连忙给马老板汇报工作去吧。当然这个受权认证还是非常简单的，还有很多期待的小伙伴们去挖掘，比方如何主动刷新 Token？如何强制 Token 生效？OAuth 其余实现形式等等？大家如果有趣味，让小明下次通知你们。

正文完