ASP.Net Core 3.1 中使用JWT认证（笔记）
一、JWT原理：
1、传统的登录方式：浏览器输入用户名密码，服务器端检验通过后，根据用户信息生成一个token，将token和userID存到数据库或者session中，并将token返回给前端存入cookie。之后客户端访问时会带上cookie中的信息，服务端根据客户端提供的信息对比来验证登录的客户有效性。
存在弊端：问题1：如果出现XSS(Cross-Site Scripting)跨站请求漏洞，由于cookie可以被js读取，xss漏洞会导致用户token被泄露。
解决办法：设置HttpOnly，这样的话Cookie将不会被JS读取，避免了攻击者伪造cookie的情况出现。（IIS设置方法：https://jingyan.baidu.com/article/54b6b9c0a5d1d22d583b4700.html）。或者设置secure，这样cookie就只能通过https传输，可以过滤掉一些使用http协议请求的XSS注入。
但是问题2来了： XSRF/CSRF（Cross-site request forgery）跨站请求伪造，也被称为“One Click Attack”或者Session Riding。
解决办法：CSRF攻击的本质是通过伪造用户的请求来通过验证，用户的一些信息保存在cookie中，黑客无法获取用户cookie的情况下，通过利用用户自己的cookie来获取页面权限，从而达到攻击目的。但是也可以解决，用户登陆的时候由服务器发放一个随机token给用户，用户每次发送请求的时候都带上这个token，用户请求中的token通过和服务端token对比，从而来验证发送请求信息的用户的有效性。防范CSRF要注意Token的保密性和随机性。
还有个办法也可以考虑，我发现银行转账都有设置，根据HTTP协议，在HTTP头中有一个字段叫Referer，它记录了该HTTP请求的来源地址。在通常情况下，访问一个安全受限的页面的请求都来自于同一个网站。比如某银行的转账是通过用户访问http://www.xxx.com/transfer页面完成的，用户必须先登录访问到http://www.xxx.com/transfer，然后通过单击页面上的提交按钮来触发转账事件。
总结，防止CSRF攻击需要将cookie设置为httponly，以及增加session相关的Hash token码，最好在header中再加上Referer。
2、使用JWT的优势
(1)可以通过URL POST参数或者在http header中发送，数据量小。
(2)负载Payload中包含了所有需要的信息，避免多次查询数据库
JWT的组成：HEADER.PAYLOAD.SIGNATURE
HEADER包含token的元数据，主要是加密算法，和签名的类型，如下面的信息，说明了加密的对象类型是JWT，加密算法是HMAC SHA-256。
{"alg":"HS256","typ":"JWT"}然后需要通过BASE64编码后存入token中
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9 Payload主要包含一些声明信息（claim），这些声明是key-value对的数据结构。通常如用户名，角色等信息，过期日期等，因为是未加密的，所以不建议存放敏感信息。
{"http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name":"admin","exp":1578645536,"iss":"webapi.cn","aud":"WebApi"}也需要通过BASE64编码后存入token中
eyJodHRwOi8vc2NoZW1hcy54bWxzb2FwLm9yZy93cy8yMDA1LzA1L2lkZW50aXR5L2NsYWltcy9uYW1lIjoiYWRtaW4iLCJleHAiOjE1Nzg2NDU1MzYsImlzcyI6IndlYmFwaS5jbiIsImF1ZCI6IldlYkFwaSJ9
Signaturejwt要符合jws(Json Web Signature)的标准生成一个最终的签名。把编码后的Header和Payload信息加在一起，然后使用一个强加密算法，如 HmacSHA256，进行加密。HS256(BASE64(Header).Base64(Payload)，secret)
2_akEH40LR2QWekgjm8Tt3lesSbKtDethmJMo_3jpF4
最后生成的token如下
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJodHRwOi8vc2NoZW1hcy54bWxzb2FwLm9yZy93cy8yMDA1LzA1L2lkZW50aXR5L2NsYWltcy9uYW1lIjoiYWRtaW4iLCJleHAiOjE1Nzg2NDU1MzYsImlzcyI6IndlYmFwaS5jbiIsImF1ZCI6IldlYkFwaSJ9.2_akEH40LR2QWekgjm8Tt3lesSbKtDethmJMo_3jpF4
下面切入主题
开发环境:netCore3.1，之前文章有写过一些系统搭建的基础，喜欢的老铁可以去看看之前的文章来搭建基础服务。
使用NPM包管理安装Microsoft.AspNetCore.Authentication.JwtBearer。
创建一个简单的POCO类，用来存储签发或者验证JWT时用到的信息。
using Newtonsoft.Json;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Threading.Tasks;
namespace Webapi.Models
{
public class TokenManagement
{
[JsonProperty("secret")]
public string Secret { get; set; }
[JsonProperty("issuer")]
public string Issuer { get; set; }
[JsonProperty("audience")]
public string Audience { get; set; }
[JsonProperty("accessExpiration")]
public int AccessExpiration { get; set; }
[JsonProperty("refreshExpiration")]
public int RefreshExpiration { get; set; }
}
}然后在 appsettings.Development.json 增加jwt使用到的配置信息（如果是生成环境在appsettings.json添加即可）
"tokenManagement": {
"secret": "123456",
"issuer": "webapi.cn",
"audience": "WebApi",
"accessExpiration": 30,
"refreshExpiration": 60
}然后再startup类的ConfigureServices方法中增加读取配置信息
public void ConfigureServices(IServiceCollection services)
{
//services.AddControllers();
services.Configure(Configuration.GetSection("tokenManagement"));
var token = Configuration.GetSection("tokenManagement").Get();
} 到目前为止，我们完成了一些基础工作，下面再webapi中注入jwt的验证服务，并在中间件管道中启用authentication中间件。
startup类中要引用jwt验证服务的命名空间
using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.IdentityModel.Tokens;然后在ConfigureServices方法中添加如下逻辑
services.AddAuthentication(x =>
{
x.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
x.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
}).AddJwtBearer(x =>
{
x.RequireHttpsMetadata = false;
x.SaveToken = true;
x.TokenValidationParameters = new TokenValidationParameters
{
ValidateIssuerSigningKey = true,
IssuerSigningKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes(token.Secret)),
ValidIssuer = token.Issuer,
ValidAudience = token.Audience,
ValidateIssuer = false,
ValidateAudience = false
};
});再Configure方法中启用验证
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
//if (env.IsDevelopment())
//{
//app.UseDeveloperExceptionPage();
//}
//app.UseHttpsRedirection();
app.UseAuthentication();
//app.UseRouting();
//app.UseAuthorization();
//app.UseEndpoints(endpoints =>
//{
//endpoints.MapControllers();
//});
}上面完成了JWT验证的功能，下面就需要增加签发token的逻辑。我们需要增加一个专门用来用户认证和签发token的控制器，命名成AuthenticationController，同时增加一个请求的DTO类
public class LoginRequestDTO
{
[Required]
[JsonProperty("username")]
public string Username { get; set; }
[Required]
[JsonProperty("password")]
public string Password { get; set; }
} [ApiVersion("1")]
[Route("api/v{version:apiVersion}/[controller]")]
[ApiController]
public class AuthenticationController : ControllerBase
{
[AllowAnonymous]
[HttpPost, Route("requestToken")]
public ActionResult RequestToken([FromBody] LoginRequestDTO request)
{
if (!ModelState.IsValid)
{
return BadRequest("Invalid Request");
}
return Ok();
}
}目前上面的控制器只实现了基本的逻辑，下面我们要创建签发token的服务，去完成具体的业务。第一步我们先创建对应的服务接口，命名为IAuthenticateService
public interface IAuthenticateService
{
bool IsAuthenticated(LoginRequestDTO request, out string token);
}接下来，实现接口
public class TokenAuthenticationService : IAuthenticateService
{
public bool IsAuthenticated(LoginRequestDTO request, out string token)
{
throw new NotImplementedException();
}
}在Startup的ConfigureServices方法中注册服务
services.AddScoped();
在Controller中注入IAuthenticateService服务，并完善action
public class AuthenticationController : ControllerBase
{
private readonly IAuthenticateService _authService;
public AuthenticationController(IAuthenticateService authService)
{
this._authService = authService;
}
[AllowAnonymous]
[HttpPost, Route("requestToken")]
public ActionResult RequestToken([FromBody] LoginRequestDTO request)
{
if (!ModelState.IsValid)
{
return BadRequest("Invalid Request");
}
string token;
if (_authService.IsAuthenticated(request, out token))
{
return Ok(token);
}
return BadRequest("Invalid Request");
}
}正常情况，我们都会根据请求的用户和密码去验证用户是否合法，需要连接到数据库获取数据进行校验，我们这里为了方便，假设任何请求的用户都是合法的。
这里单独加个用户管理的服务，不在IAuthenticateService这个服务里面添加相应逻辑，主要遵循了职责单一原则。首先和上面一样，创建一个服务接口IUserService
public interface IUserService
{
bool IsValid(LoginRequestDTO req);
}实现IUserService接口
public class UserService : IUserService
{
//模拟测试，默认都是人为验证有效
public bool IsValid(LoginRequestDTO req)
{
return true;
}
}同样注册到容器中
services.AddScoped(); 接下来，就要完善TokenAuthenticationService签发token的逻辑，首先要注入IUserService 和 TokenManagement，然后实现具体的业务逻辑，这个token的生成还是使用的Jwt的类库提供的api，具体不详细描述。
特别注意下TokenManagement的注入是已IOptions的接口类型注入的，还记得在Startpup中吗？我们是通过配置项的方式注册TokenManagement类型的。
public class TokenAuthenticationService : IAuthenticateService
{
private readonly IUserService _userService;
private readonly TokenManagement _tokenManagement;
public TokenAuthenticationService(IUserService userService, IOptions tokenManagement)
{
_userService = userService;
_tokenManagement = tokenManagement.Value;
}
public bool IsAuthenticated(LoginRequestDTO request, out string token)
{
token = string.Empty;
if (!_userService.IsValid(request))
return false;
var claims = new[]
{
new Claim(ClaimTypes.Name,request.Username)
};
var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_tokenManagement.Secret));
var credentials = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
var jwtToken = new JwtSecurityToken(_tokenManagement.Issuer, _tokenManagement.Audience, claims, expires: DateTime.Now.AddMinutes(_tokenManagement.AccessExpiration), signingCredentials: credentials);
token = new JwtSecurityTokenHandler().WriteToken(jwtToken);
return true;
}
} 准备好测试试用的APi，打上Authorize特性，表明需要授权！
[ApiController]
[Route("[controller]")]
[Authorize]
public class WeatherForecastController : ControllerBase
{
private static readonly string[] Summaries = new[]
{
"Freezing", "Bracing", "Chilly", "Cool", "Mild", "Warm", "Balmy", "Hot", "Sweltering", "Scorching"
};
private readonly ILogger _logger;
public WeatherForecastController(ILogger logger)
{
_logger = logger;
}
[HttpGet]
public IEnumerable Get()
{
var rng = new Random();
return Enumerable.Range(1, 5).Select(index => new WeatherForecast
{
Date = DateTime.Now.AddDays(index),
TemperatureC = rng.Next(-20, 55),
Summary = Summaries[rng.Next(Summaries.Length)]
})
.ToArray();
}
} 支持我们可以测试验证了，我们可以使用postman来进行http请求，先启动http服务，获取url，先测试一个访问需要授权的接口，但没有携带token信息，返回是401，表示未授权
把Token复制出来（
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJodHRwOi8vc2NoZW1hcy54bWxzb2FwLm9yZy93cy8yMDA1LzA1L2lkZW50aXR5L2NsYWltcy9uYW1lIjoic3RyaW5nIiwiZXhwIjoxNTg4MzI1NDI0LCJpc3MiOiJ3ZWJhcGkuY24iLCJhdWQiOiJXZWJBcGkifQ.wz0xUgsCi3Pe8IR5xm-ncGx0w_6bkEL02cOi_jXvT2Q
），加到网页访问请求里面。
成功通过JWT访问页面