ASP.Net Core3.0中使用JWT认证的实现
jwt认证简单介绍
关于jwt的介绍网上很多,此处不在赘述,我们主要看看jwt的结构。
jwt主要由三部分组成,如下:
header.payload.signature
header
包含token的元数据,主要是加密算法,和签名的类型,如下面的信息,说明了
加密的对象类型是jwt,加密算法是hmac sha-256
{"alg":"hs256","typ":"jwt"}
然后需要通过base64编码后存入token中
eyjhbgcioijiuzi1niisinr5cci6ikpxvcj9
payload
主要包含一些声明信息(claim),这些声明是key-value对的数据结构。
通常如用户名,角色等信息,过期日期等,因为是未加密的,所以不建议存放敏感信息。
{"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name":"admin","exp":1578645536,"iss":"webapi.cn","aud":"webapi"}
也需要通过base64编码后存入token中
eyjodhrwoi8vc2nozw1hcy54bwxzb2fwlm9yzy93cy8ymda1lza1l2lkzw50axr5l2nsywltcy9uyw1lijoiywrtaw4ilcjlehaioje1nzg2ndu1mzysimlzcyi6indlymfwas5jbiisimf1zci6ildlykfwasj9
signature
jwt要符合jws(json web signature)的标准生成一个最终的签名。把编码后的header和payload信息加在一起,然后使用一个强加密算法,如 hmacsha256,进行加密。hs256(base64(header).base64(payload),secret)
2_akeh40lr2qwekgjm8tt3lessbktdethmjmo_3jpf4
最后生成的token如下
eyjhbgcioijiuzi1niisinr5cci6ikpxvcj9.eyjodhrwoi8vc2nozw1hcy54bwxzb2fwlm9yzy93cy8ymda1lza1l2lkzw50axr5l2nsywltcy9uyw1lijoiywrtaw4ilcjlehaioje1nzg2ndu1mzysimlzcyi6indlymfwas5jbiisimf1zci6ildlykfwasj9.2_akeh40lr2qwekgjm8tt3lessbktdethmjmo_3jpf4
开发环境
框架:asp.net 3.1
ide:vs2019
asp.net 3.1 webapi中使用jwt认证
命令行中执行执行以下命令,创建webapix项目:
dotnet new webapi -n webapi -o webapi
特别注意的时,3.x默认是没有jwt的microsoft.aspnetcore.authentication.jwtbearer库的,所以需要手动添加nuget package,切换到项目所在目录,执行 .net cli命令
dotnet add package microsoft.aspnetcore.authentication.jwtbearer --version 3.1.0
创建一个简单的poco类,用来存储签发或者验证jwt时用到的信息
using newtonsoft.json; using system; using system.collections.generic; using system.linq; using system.threading.tasks; namespace webapi.models { public class tokenmanagement { [jsonproperty("secret")] public string secret { get; set; } [jsonproperty("issuer")] public string issuer { get; set; } [jsonproperty("audience")] public string audience { get; set; } [jsonproperty("accessexpiration")] public int accessexpiration { get; set; } [jsonproperty("refreshexpiration")] public int refreshexpiration { get; set; } } }
然后在 appsettings.development.json
增加jwt使用到的配置信息(如果是生成环境在 appsettings.json
添加即可)
"tokenmanagement": { "secret": "123456", "issuer": "webapi.cn", "audience": "webapi", "accessexpiration": 30, "refreshexpiration": 60 }
然后再startup类的configureservices方法中增加读取配置信息
public void configureservices(iservicecollection services) { services.addcontrollers(); services.configure<tokenmanagement>(configuration.getsection("tokenmanagement")); var token = configuration.getsection("tokenmanagement").get<tokenmanagement>(); }
到目前为止,我们完成了一些基础工作,下面再webapi中注入jwt的验证服务,并在中间件管道中启用authentication中间件。
startup类中要引用jwt验证服务的命名空间
using microsoft.aspnetcore.authentication.jwtbearer; using microsoft.identitymodel.tokens;
然后在 configureservices
方法中添加如下逻辑
services.addauthentication(x => { x.defaultauthenticatescheme = jwtbearerdefaults.authenticationscheme; x.defaultchallengescheme = jwtbearerdefaults.authenticationscheme; }).addjwtbearer(x => { x.requirehttpsmetadata = false; x.savetoken = true; x.tokenvalidationparameters = new tokenvalidationparameters { validateissuersigningkey = true, issuersigningkey = new symmetricsecuritykey(encoding.ascii.getbytes(token.secret)), validissuer = token.issuer, validaudience = token.audience, validateissuer = false, validateaudience = false }; });
再 configure
方法中启用验证
public void configure(iapplicationbuilder app, iwebhostenvironment env) { if (env.isdevelopment()) { app.usedeveloperexceptionpage(); } app.usehttpsredirection(); app.useauthentication(); app.userouting(); app.useauthorization(); app.useendpoints(endpoints => { endpoints.mapcontrollers(); }); }
上面完成了jwt验证的功能,下面就需要增加签发token的逻辑。我们需要增加一个专门用来用户认证和签发token的控制器,命名成 authenticationcontroller
,同时增加一个请求的dto类
public class loginrequestdto { [required] [jsonproperty("username")] public string username { get; set; } [required] [jsonproperty("password")] public string password { get; set; } }
[route("api/[controller]")] [apicontroller] public class authenticationcontroller : controllerbase { [allowanonymous] [httppost, route("requesttoken")] public actionresult requesttoken([frombody] loginrequestdto request) { if (!modelstate.isvalid) { return badrequest("invalid request"); } return ok(); } }
目前上面的控制器只实现了基本的逻辑,下面我们要创建签发token的服务,去完成具体的业务。第一步我们先创建对应的服务接口,命名为 iauthenticateservice
public interface iauthenticateservice { bool isauthenticated(loginrequestdto request, out string token); }
接下来,实现接口
public class tokenauthenticationservice : iauthenticateservice { public bool isauthenticated(loginrequestdto request, out string token) { throw new notimplementedexception(); } }
在 startup
的 configureservices
方法中注册服务
services.addscoped<iauthenticateservice, tokenauthenticationservice>();
在controller中注入iauthenticateservice服务,并完善action
public class authenticationcontroller : controllerbase { private readonly iauthenticateservice _authservice; public authenticationcontroller(iauthenticateservice authservice) { this._authservice = authservice; } [allowanonymous] [httppost, route("requesttoken")] public actionresult requesttoken([frombody] loginrequestdto request) { if (!modelstate.isvalid) { return badrequest("invalid request"); } string token; if (_authservice.isauthenticated(request, out token)) { return ok(token); } return badrequest("invalid request"); } }
正常情况,我们都会根据请求的用户和密码去验证用户是否合法,需要连接到数据库获取数据进行校验,我们这里为了方便,假设任何请求的用户都是合法的。
这里单独加个用户管理的服务,不在iauthenticateservice这个服务里面添加相应逻辑,主要遵循了 职责单一原则
。首先和上面一样,创建一个服务接口 iuserservice
public interface iuserservice { bool isvalid(loginrequestdto req); }
实现 iuserservice
接口
public class userservice : iuserservice { //模拟测试,默认都是人为验证有效 public bool isvalid(loginrequestdto req) { return true; } }
同样注册到容器中
services.addscoped<iuserservice, userservice>();
接下来,就要完善tokenauthenticationservice签发token的逻辑,首先要注入iuserservice 和 tokenmanagement,然后实现具体的业务逻辑,这个token的生成还是使用的jwt的类库提供的api,具体不详细描述。
特别注意下tokenmanagement的注入是已ioptions的接口类型注入的,还记得在startpup中吗?我们是通过配置项的方式注册tokenmanagement类型的。
public class tokenauthenticationservice : iauthenticateservice { private readonly iuserservice _userservice; private readonly tokenmanagement _tokenmanagement; public tokenauthenticationservice(iuserservice userservice, ioptions<tokenmanagement> tokenmanagement) { _userservice = userservice; _tokenmanagement = tokenmanagement.value; } public bool isauthenticated(loginrequestdto request, out string token) { token = string.empty; if (!_userservice.isvalid(request)) return false; var claims = new[] { new claim(claimtypes.name,request.username) }; var key = new symmetricsecuritykey(encoding.utf8.getbytes(_tokenmanagement.secret)); var credentials = new signingcredentials(key, securityalgorithms.hmacsha256); var jwttoken = new jwtsecuritytoken(_tokenmanagement.issuer, _tokenmanagement.audience, claims, expires: datetime.now.addminutes(_tokenmanagement.accessexpiration), signingcredentials: credentials); token = new jwtsecuritytokenhandler().writetoken(jwttoken); return true; } }
准备好测试试用的api,打上authorize特性,表明需要授权!
[apicontroller] [route("[controller]")] [authorize] public class weatherforecastcontroller : controllerbase { private static readonly string[] summaries = new[] { "freezing", "bracing", "chilly", "cool", "mild", "warm", "balmy", "hot", "sweltering", "scorching" }; private readonly ilogger<weatherforecastcontroller> _logger; public weatherforecastcontroller(ilogger<weatherforecastcontroller> logger) { _logger = logger; } [httpget] public ienumerable<weatherforecast> get() { var rng = new random(); return enumerable.range(1, 5).select(index => new weatherforecast { date = datetime.now.adddays(index), temperaturec = rng.next(-20, 55), summary = summaries[rng.next(summaries.length)] }) .toarray(); } }
支持我们可以测试验证了,我们可以使用postman来进行http请求,先启动http服务,获取url,先测试一个访问需要授权的接口,但没有携带token信息,返回是401,表示未授权
下面我们先通过认证接口,获取token,居然报错,查询了下,发现hs256算法的秘钥长度最新为128位,转换成字符至少16字符,之前设置的秘钥是123456,所以导致异常。
system.argumentoutofrangeexception: idx10603: decryption failed. keys tried: 'hs256'. exceptions caught: '128'. token: '48' (parameter 'keysize') at
更新秘钥
"tokenmanagement": { "secret": "123456123456123456", "issuer": "webapi.cn", "audience": "webapi", "accessexpiration": 30, "refreshexpiration": 60 }
重新发起请求,成功获取token
eyjhbgcioijiuzi1niisinr5cci6ikpxvcj9.eyjodhrwoi8vc2nozw1hcy54bwxzb2fwlm9yzy93cy8ymda1lza1l2lkzw50axr5l2nsywltcy9uyw1lijoiywrtaw4ilcjlehaioje1nzg2nduymdmsimlzcyi6indlymfwas5jbiisimf1zci6ildlykfwasj9.aehd8wtanetklof2ojsvg0u4_o8_sjdxmwujzaiui-o
把token带到之前请求的api中,重新测试,成功获取数据
总结
基于token的认证方式,让我们构建分布式/松耦合的系统更加容易。任何地方生成的token,只有拥有相同秘钥,就可以再任何地方进行签名校验。
当然要用好jwt认证方式,还有其他安全细节需要处理,比如palyload中不能存放敏感信息,使用https的加密传输方式等等,可以根据业务实际需要再进一步安全加固!
同时我们也发现使用token,就可以摆脱cookie的限制,所以jwt是移动app开发的首选!
以上就是本文的全部内容,希望对大家的学习有所帮助,也希望大家多多支持。
上一篇: Javascript实现简易天数计算器
下一篇: 解协议时有符号和无符号整数型处理
推荐阅读
-
浅谈如何在ASP.NET Core中实现一个基础的身份认证
-
在ASP.NET Core中实现一个Token base的身份认证实例
-
在Asp.Net Core中配置使用MarkDown富文本编辑器实现图片上传和截图上传(开源代码.net core3.0)
-
PHP如何使用JWT做Api接口身份认证的实现
-
ASP.NET Core 2.1 中的 HttpClientFactory (Part 3) 使用Handler实现传出请求中间件
-
jwt-在asp.net core中的使用jwt
-
ASP.NET Core使用JWT认证授权的方法
-
Asp.Net Core中配置使用Kindeditor富文本编辑器实现图片上传和截图上传及文件管理和上传(开源代码.net core3.0)
-
ASP.NET Core 使用 JWT 自定义角色/策略授权需要实现的接口
-
浅谈ASP.NET Core 中jwt授权认证的流程原理