浅谈ASP.NET Core 中jwt授权认证的流程原理

1，快速实现授权验证

什么是 jwt ？为什么要用 jwt ？jwt 的组成？

这些百度可以直接找到，这里不再赘述。

实际上，只需要知道 jwt 认证模式是使用一段 token 作为认证依据的手段。

我们看一下 postman 设置 token 的位置。

那么，如何使用 c# 的 httpclient 访问一个 jwt 认证的 webapi 呢？

下面来创建一个 asp.net core 项目，尝试添加 jwt 验证功能。

1.1 添加 jwt 服务配置

在 startup.cs 的 configureservices 方法中，添加一个服务

  // 设置验证方式为 bearer token
   // 你也可以添加 using microsoft.aspnetcore.authentication.jwtbearer;
   // 使用 jwtbearerdefaults.authenticationscheme 代替 字符串 "brearer"
   services.addauthentication("bearer")
    .addjwtbearer(options =>
    {
     options.tokenvalidationparameters = new tokenvalidationparameters
     {
      validateissuersigningkey = true,
      issuersigningkey = new symmetricsecuritykey(encoding.utf8.getbytes("abcdabcd1234abcdabcd1234")), // 加密解密token的密钥

      // 是否验证发布者
      validateissuer = true,
      // 发布者名称
      validissuer = "server", 

      // 是否验证订阅者
      // 订阅者名称
      validateaudience = true,
      validaudience = "client007",

      // 是否验证令牌有效期
      validatelifetime = true,
      // 每次颁发令牌，令牌有效时间
      clockskew = timespan.fromminutes(120)
     };
    });

修改 configure 中的中间件

app.usehttpsredirection();
app.userouting();
app.useauthentication();  // 注意这里
app.useauthorization();

就是这么简单，通过以上设置，要求验证请求是否有权限。

1.2 颁发 token

颁发的 token ，asp.net core 不会保存。

asp.net core 启用了 token 认证，你随便将生成 token 的代码放到不同程序的控制台，只要密钥和 issuer 和 audience 一致，生成的 token 就可以登录这个 asp.net core。

也就是说，可以随意创建控制台程序生成 token，生成的 token 完全可以登录 asp.net core 程序。

至于原因，我们后面再说，

在 program.cs 中，添加一个这样的方法

  static void consoletoke()
  {

   // 定义用户信息
   var claims = new claim[]
   {
    new claim(claimtypes.name, "痴者工良"),
    new claim(jwtregisteredclaimnames.email, "[e-mail]"),
   };

   // 和 startup 中的配置一致
   symmetricsecuritykey key = new symmetricsecuritykey(encoding.utf8.getbytes("abcdabcd1234abcdabcd1234"));

   jwtsecuritytoken token = new jwtsecuritytoken(
    issuer: "server",
    audience: "client007",
    claims: claims,
    notbefore: datetime.now,
    expires: datetime.now.addminutes(30),
    signingcredentials: new signingcredentials(key, securityalgorithms.hmacsha256)
   );

   string jwttoken = new jwtsecuritytokenhandler().writetoken(token);
   console.writeline(jwttoken);
  }

main() 中，调用此方法

 public static void main(string[] args)
  {
   consoletoke();
   createhostbuilder(args).build().run();
  }

1.3 添加 api访问

我们添加一个 api。

[authorize] 特性用于标识此 controller 或 action 需要使用合规的 token 才能登录。

 [authorize]
 [route("api/[controller]")]
 [apicontroller]
 public class homecontroller : controllerbase
 {
  public string get()
  {
   console.writeline(user.claims.firstordefault(x => x.type == claimtypes.name));
   return "访问成功";
  }
 }

然后启动 asp.net core，在 postman 测试 访问 https://localhost/api/home。

发现报 401 (无权限)状态码，这是因为请求时不携带令牌，会导致不能访问 api。

从控制台终端复制生成的 token 码，复制到 postman 中，再次访问，发现响应状态码为 200，响应成功。

asp.net core 自带 jwt 认证大概就是这样。

那么，asp.net core 内部是如何实现的呢？又有哪些特性哪些坑呢？请往下看~

2，探究授权认证中间件

在上面的操作中，我们在管道配置了两个中间件。

app.useauthentication();
app.useauthorization();

app.useauthentication(); 的作用是通过 asp.net core 中配置的授权认证，读取客户端中的身份标识(cookie,token等)并解析出来，存储到 context.user 中。

app.useauthorization(); 的作用是判断当前访问 endpoint (controller或action)是否使用了 [authorize]以及配置角色或策略，然后校验 cookie 或 token 是否有效。

使用特性设置相应通过认证才能访问，一般有以下情况。

 // 不适用特性，可以直接访问
 public class acontroller : controllerbase
 {
  public string get() { return "666"; }
 }

 /// <summary>
 /// 整个控制器都需要授权才能访问
 /// </summary>
 [authorize]
 public class bcontroller : controllerbase
 {
  public string get() { return "666"; }
 }

 public class ccontroller : controllerbase
 {
  // 只有 get 需要授权
  [authorize]
  public string get() { return "666"; }
  public string getb() { return "666"; }
 }

 /// <summary>
 /// 整个控制器都需要授权，但 get 不需要
 /// </summary>
 [authorize]
 public class dcontroller : controllerbase
 {
  [allowanonymous]
  public string get() { return "666"; }
 }

2.1 实现 token 解析

至于 asp.net core 中，app.useauthentication(); 和 app.useauthorization(); 的源代码各种使用了一个项目来写，代码比较多。要理解这两个中间件的作用，我们不妨来手动实现他们的功能。

解析出的 token 是一个 claimsprincipal 对象，将此对象给 context.user 赋值，然后在 api 中可以使用 user 实例来获取用户的信息。

在中间件中，使用下面的代码可以获取客户端请求的 token 解析。

context.requestservices.getrequiredservice<iauthenticationservice>().authenticateasync(context, jwtbearerdefaults.authenticationscheme);

那么，我们如何手工从原生的 http 请求中，解析出来呢？且看我慢慢来分解步骤。

首先创建一个 testmiddleware 文件，作为中间件使用。

 public class testmiddleware
 {
  private readonly requestdelegate _next;
  jwtsecuritytokenhandler = new jwtsecuritytokenhandler();
  public testmiddleware(requestdelegate next)
  {
   _next = next;
  }
  public async task invoke(httpcontext context)
  {
   if (context == null)
   {
    throw new argumentnullexception(nameof(context));
   }

   // 我们写代码的区域


   // 我们写代码的区域
   await _next(context);
  }
 }

2.1.1 从 http 中获取 token

下面代码可以中 http 请求中，取得头部的 token 。

当然，客户端可能没有携带 token，可能获取结果为 null ，自己加个判断。

贴到代码区域。

 string tokenstr = context.request.headers["authorization"].tostring();

header 的 authorization 键，是由 breaer {token}组成的字符串。

2.1.2 判断是否为有效令牌

拿到 token 后，还需要判断这个 token 是否有效。

因为 authorization 是由 breaer {token}组成，所以我们需要去掉前面的 brear 才能获取 token。

 /// <summary>
  /// token是否是符合要求的标准 json web 令牌
  /// </summary>
  /// <param name="tokenstr"></param>
  /// <returns></returns>
  public bool iscanreadtoken(ref string tokenstr)
  {
   if (string.isnullorwhitespace(tokenstr) || tokenstr.length < 7)
    return false;
   if (!tokenstr.substring(0, 6).equals(microsoft.aspnetcore.authentication.jwtbearer.jwtbearerdefaults.authenticationscheme))
    return false;
   tokenstr = tokenstr.substring(7);
   bool iscan = jwtsecuritytokenhandler.canreadtoken(tokenstr);

   return iscan;
  }

获得 token 后，通过 jwtsecuritytokenhandler.canreadtoken(tokenstr); 来判断 token 是否符合协议规范。

将下面判断贴到代码区域。

if (!iscanreadtoken(ref tokenstr))
    return ;

2.1.3 解析 token

下面代码可以将 header 的 authorization 内容转为 jwtsecuritytoken 对象。

(截取字符串的方式很多种，喜欢哪个就哪个。。。)

 /// <summary>
  /// 从token解密出jwtsecuritytoken,jwtsecuritytoken : securitytoken
  /// </summary>
  /// <param name="tokenstr"></param>
  /// <returns></returns>
  public jwtsecuritytoken getjwtsecuritytoken(string tokenstr)
  {
   var jwt = jwtsecuritytokenhandler.readjwttoken(tokenstr);
   return jwt;
  }

不过这个 getjwtsecuritytoken 不是我们关注的内容，我们是要获取 claim。

jwtsecuritytoken.claims

将下面代码贴到代码区域

jwtsecuritytoken jst = getjwtsecuritytoken(tokenstr);
ienumerable<claim> claims = jst.claims;

2.1.4 生成 context.user

context.user 是一个 claimsprincipal 类型，我们通过解析出的 claim，生成 claimsprincipal。

jwtsecuritytoken jst = getjwtsecuritytoken(tokenstr);
ienumerable<claim> claims = jst.claims;

list<claimsidentity> ci = new list<claimsidentity>() { new claimsidentity(claims) };
context.user = new claimsprincipal(ci);

最终的代码块是这样的

   // 我们写代码的区域
   string tokenstr = context.request.headers["authorization"].tostring();
   string requesturl = context.request.path.value;
   if (!iscanreadtoken(ref tokenstr))
    return;
   jwtsecuritytoken jst = getjwtsecuritytoken(tokenstr);
   ienumerable<claim> claims = jst.claims;
   list<claimsidentity> ci = new list<claimsidentity>() { new claimsidentity(claims) };

   context.user = new claimsprincipal(ci);
   var x = new claimsprincipal(ci);
   // 我们写代码的区域

2.2 实现校验认证

app.useauthentication(); 的大概实现过程已经做出了说明，现在我们来继续实现 app.useauthorization(); 中的功能。

继续使用上面的中间件，在原代码块区域添加新的区域。

// 我们写代码的区域

// 我们写的代码块

 22.2.1 endpoint

endpoint 标识了一个 http 请求所访问的路由信息和 controller 、action 及其特性等信息。

[authorize] 特性继承了 iauthorizedata。[allowanonymous] 特性继承了 iallowanonymous。

以下代码可以获取所访问的节点信息。

var endpoint = context.getendpoint();

那么如何判断所访问的 controller 和 action 是否使用了认证相关的特性？

 var authorizedata = endpoint?.metadata.getorderedmetadata<iauthorizedata>() ?? array.empty<iauthorizedata>();

metadata 是一个 asp.net core 实现的集合对象，getorderedmetadata<t> 可以找出需要的特性信息。

这个集合不会区分是 contrller 还是 action 的 [authorize] 特性。

那么判断 是否有 [allowanonymous] 特性，可以这样使用。

if (endpoint?.metadata.getmetadata<iallowanonymous>() != null)
   {
    await _next(context);
    return;
   }

到此这篇关于浅谈asp.net core 中jwt授权认证的流程原理的文章就介绍到这了,更多相关asp.net core jwt授权认证内容请搜索以前的文章或继续浏览下面的相关文章希望大家以后多多支持！