Issuing and authenticating JWT tokens in ASP.NET Core WebAPI – Part I

在ASP.NET Core WebAPI中发行和验证 JWT tokens.

Introduction

如果你想看一个例子关于ASP.NET Core 1怎样发行JWT tokens以及在简单的应用程序中自动控制持有者的使用权通过关于一个 [Authorize] attribute（特别是集中在基于声明式验证授权claims-based authorisation使用ASP.NET Core MVC的策略特性policy features）在Web API 项目上。then you are in the right place!

这篇文字是这篇文章史诗般的努力的第一部分。并且解决了JWT tokens发行方面的的问题。即是：

• 1. Initial Setup -这将集中于“过渡支架scaffolding”这将在“令牌服务器端”和 the example solution的“资源服务器端“同时使用。
• 2. Issuing a JSON Web Token -如何验证它是否有效的话它主要关注这个。
  • Options and Configuration
  • Adding the Controller
  • Testing the JWT Controller
• 3. What to expect in Part II
• 4. Links

如果你在这里，因为你需要一些与刷新令牌和适当的身份管理相关的东西。我建议你看一看 this tutorial by Sean Walsh关于如何建立OpenIddict 在ASP.NET Core.

Requirements

• An installation of the ASP.NET Core RTM (v 1.0.0) for your platform (I am on Windows 10 and using Visual Studio 2015 with Update 3 andASP.NET Core Tools Preview 2. Having said that, I’ve tested and confirmed that all the code and dependencies listed here also compiles and runs on Ubuntu 16.04).
• The source code for this demo so that you may see where the individual pieces I refer to in the gists below fit into the whole.

Assumed

1. That you know what JSON Web Tokens are
2. That you know how to create a Web API project with ASP.NET Core MVC
3. That you know where the ASP.NET documentation is for anything not specifically mentioned that might be new to you (also feel free to ask in the comments)

Initial Setup

示例解决方案在相同的解决方案中有令牌服务器和资源服务器。因为我们需要在资源端进行身份验证。最好的做法是把所有的东西都锁定，只打卡你需要的控制器和方法.换句话说，默认情况下不允许匿名访问并关闭需要身份验证的的控制器。我们需要身份验证默认情况下和允许匿名访问的开放的控制器。我们通过替换MVC服务配置in the ConfigureServices method in Startup.cs with the following:

接下来，我们将添加一个基本的ApplicationUser模型：

我们还需要一些方法来配置我们的令牌，我们这样做的方式是通过JwtIssuerOptions类，它允许我们设置一些 JWT registered claimJWT注册要求。并在签名时提供一些附加的功能。

Issuing a JSON Web Token

Options and Configuration

在创建JwtController之前，我们需要配置JwtIssuerOptions，并将其设置为注入。我们要做的第一件事是在appsettings.json中添加一些配置设置。这个文件将被创建通过我们由vs作为过渡支架的一部分，我们为它添加了一个简单的JwtIssuerOptions配置部分（第2-5行）。

NB! Take care that the ‘Audience’ value matches the ‘applicationUrl’ under ‘iisSettings’ -> ‘iisExpress’ in your ‘launchSettings.json’ file (under ‘Properties’ when you view your project in the VS Solution Explorer pane).

接下来我们要做的就是告诉应用程序 我们想要使用的选项。optionsThis is a single call to AddOptions on the services instance in the ConfigureServices method in Startup.cs (line 8) and the last part of the JwtIssuerOptions setup is to initialise an instance and make it available to the ASP.NET dependency injection system (lines 13 – 21 below).

特别注意前两行，从一些安全的位置，比如环境设置中检索密钥非常重要，而不是我在这里做的。我这样做的原因是让这个例子更容易编写跟踪。

注意：以上我大量使用了nameof()表达式， I heartily recommend it!

Adding the Controller

最后把我们到JwtController将为我们提供JWT。

• Line 16: 设置匹配控制器名称的路由。
• Lines 23 – 24:通过一个基本的构造函数设置控制器。请注意JwtIssuerOptions是如何让通过IOptions的接口进行注入的。（我再一次提到你options and configuration documentation）
• Lines 36 – 95:这就是我们生成JWT的地方，理想情况下，我们应该重构这段代码以实现更大的模块化。但我发现，当所有的事情都保持在一起的时候，我的例子更容易理解，所以你们当中的纯碎主义者必须容忍我。
  • Line 37:还记得我们是如何在一开始就锁定只有经过身份验证的用户的吗？为了让这个控制器方法从外部访问，我们现在必须显式地允许匿名访问。
• Line 38:model binding in ASP.NET Core要求我们明确地绑定到我们感兴趣的文章的一部分。因为我们正在使用”x-www-form-urlencoded“编码的形式。我们与表单绑定。
• Line 40 :106 – 127为了简单起见，我们再来一次，我硬编码了您通常从数据库存储中检索到的信息。在这个例子中，两个基本的身份是可能的，主要区别在于，一个人拥有”DisneyCharacter“的权利，而另外一个却没有。
• Lines 47 – 55:添加索赔。
• Lines 56 – 74： create the JwtSecurityToken，并对其进行编码，并将其作为JSON返回给调用者。（for interest’s sake, the JwtSecurityToken lives in System.IdentityModel.Tokens.Jwt, which comes with the NETStandard libraries, i.e. no additional package needs to be installed in order to use it)）

Testing the JWT Controller

对于测试和验证部分，您需要有一些方法向应用程序发送请求，我特别注意Postman 并将在整个过程中使用它。

1. 启动例子的解决方案（你的应用程序）。
2. If you are using the example solution, the application’s URL ishttp://localhost:1783/ (configured in launchSettings.json)
3. Start up Postman

Configure a POST to http://localhost:1783/api/jwt with ‘x-www-form-urlencoded’ selected under Body,为表单提供两个键/值 ‘username’ as ‘MickeyMouse’ and ‘password’ as ‘MickeyMouseIsBoss123’，（记住，在JwtController上的GetClaimsIdentity方法中,这些值是硬编码的。）

点击”发送“和等待（如果您在调试模式下通过vs运行您的解决方案，您可以在代码中添加一些断点来跟踪流程流。）如果一切都是正确的，您应该在响应体中接收到一些JSON,其外观与下面的相似：

Paste_Image.png

这就是它，它是一个基本的，但功能强大的JSON Web令牌服务器，激动人心的时刻！

（如果出于某种原因，你失败了，无法弄明白发送了什么，请在评论中自由提问。）

Cheers!

What to Expect in Part II

Part II将通过授权属性[Authorize]自动控制对JWT的访问。利用JwtBearer认证中间件。特别关注在Web API项目中使用ASP.NET Core用户声明的策略特性。

Links

1. Token Authentication in ASP.NET Core（without this blog post by Nate Barbettini, this multi-part tutorial of mine would not have been possible）
2. Supported Token and Claim Types (although aimed at Azure and ADAuth specifically, the first part is a useful, general overview of tokens
3. ASP.NET Core Authorization Lab