AspNetCore 成长杂记(一):JWT授权鉴权之生成JWT(其一)

这篇具有很好参考价值的文章主要介绍了AspNetCore 成长杂记(一):JWT授权鉴权之生成JWT(其一)。希望对大家有所帮助。如果存在错误或未考虑完全的地方,请大家不吝赐教,您也可以点击"举报违法"按钮提交疑问。

引子

最近不知怎么的,自从学了WebAPI(为什么是这个,而不是MVC,还不是因为MVC的Razor语法比较难学,生态不如现有的Vue等框架,webapi很好的结合了前端生态)以后,使用别人的组件一帆风顺,但是不知其意,突然很想自己实现一个基于的JWT认证服务,来好好了解一下这个内容。

起步

自从Session-Cookie方案逐渐用的越来越少,JWT的使用也变得成为主流的安全方案之一,但是在.NET Core的文档(这里的.NET Core指代原来的.Net Core以及之后的版本,文档是微软的开发者文档)并没有对JWT做详细的介绍(可能是在微软看来太简单了,不值得细说),仅仅略带一提而已,实例代码更是少得可怜,根本没有什么建设性的帮助作用,更像文档工程师在水任务(但不得不说微软的Indentity框架是真的强大,Spring Security的功能基本都实现了)。纵然是费尽心机找资料,钻研文档,还是所获甚少。但是在不断的努力之下还是找到很多方案的,其中比较有用的就拿几个,我仔细研究实践后得到了这几篇文章,不求它有多大帮助,之希望它能帮更多人少走弯路。
然而这几个方案大概可以分成两类:

  1. 非对称加密的JWT(常用于外部网络认证)
  2. 对称加密的JWT (通常是内部系统)
    对比之下,非对称的JWT更安全,更符号系统的安全需求,虽然增加了解密时间,但利大于弊。可是关于非对称的JWT的文章却很少,大部分都是关于对称加密的JWT资料。对于这种情况,我自己也没有什么好的办法,直到我在看一篇文章时,在Nuget上无意找到的一个包改变了我的认知————JWT(名字粗暴直接)。当然,你直接使用.NET的扩展库也可以,这里面有一个System.IdentityModel.Tokens.Jwt可以同样使我们更快乐的创建JWT。关于这部分的内容,我也会在之后的时间单独写一篇文章来实验。
    另外,对于API验证测试工具,一般都是默认的Swagger,如果你喜欢更好用的工具,我推荐使用ApiFox或者EOLink

实施

首先创建一个WebAPI项目,至于是否在启动后使用HTTPS,根据自己的需要,一般都是需要的。然后用Nuget或者Dotnet安装JWT这个Nuget包即可开始,如果是ASP.NET Core这样需要依赖注入环境的,推荐JWT.Extensions.AspNetCore这个包(强力推荐),可以更好的让你开始,仅仅需要基本功能的只用JWT即可。
由于我这里使用的是RSA1024bit,所以需要一个HTTPS的PEM或者CRT证书做CA,各位可以自己生成一个。
首先,我们需要为服务注入这个包的依赖,即使用builder.Services.AddAuthentication().AddJwt()来添加相关依赖。那为什么是要使用这个方法呢?如果你通过对象浏览器查看API会发现一个AddJwtDecoder的方法,同样可以添加依赖,并且更灵活,如果反编译就发现——AddJwt方法是对AddJwtDecoder的某个重载的调用,后面可以调用其他方法达成同样的效果,所以推荐使用这个方法注入。

服务注入代码如下:
builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = JwtAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtAuthenticationDefaults.AuthenticationScheme;
})
.AddJwt();

然后在应用认证中间件即可。

app.UseAuthentication();

完成这些工作以后,还需要创建一个用来根据用户信息生成JWT的控制器,为了防止使用HTTPGet被攻击,我这里采用了HTTPPost。
根据这个包的文档,生成一个JWT字符串非常容易,只需要创建一个x509对象或者两个RSA对象作为公钥和私钥即可,我推荐使用这个包里面提供的FluentApi方式,写起来非常舒服,最后编码生成JWT,完成。

生成JWT的代码如下:
var token = JwtBuilder.Create()
            .WithAlgorithm(algorithm) // 加密算法
            .AddClaim<string>("Account", accountName) //添加用户信息
            .AddClaim<string>("Passwd", passwdContext) //添加用户密码
            .Encode(); //编码生成jwt

完整的控制器代码如下:
[Route("api/[controller]")]
[ApiController]
public class JwtController : ControllerBase
{
    private RSA publicKey = RSA.Create();
    private RSA privateKey = RSA.Create();
    private RS2048Algorithm? algorithm { get; set; }

    public JwtController()
    {
        algorithm = new RS2048Algorithm(publicKey, privateKey);
    }



    [HttpPost]
    public async Task<string> CreateJwt(string accountName, string passwdContext)
    {
        return await Task<string>.Run<string>(() =>
        {
            var token =
            JwtBuilder.Create()
            .WithAlgorithm(algorithm)
            .AddClaim<string>("Account", accountName)
            .AddClaim<string>("Passwd", passwdContext)
            .Encode();

            return token;
        });
    }
}

总结

JWT.Extensions.AspNetCore这个包是一个集成了常用jwt操作的包,可以让你不必关心JWT的创建过程,这大大化简了我们使用JWT的过程,在一定程度上提高了生产力。如果您喜欢这个库,可以到项目主页上添加一颗星。

注意:

经过本人的亲身经历,x509在.NET6之后的类库X509Certificate2不能直接生成私钥,需要使用该类的成员方法:public System.Security.Cryptography.X509Certificates.X509Certificate2 CopyWithPrivateKey (System.Security.Cryptography.ECDiffieHellman privateKey);创建一个带有私钥的副本,否则会出现私钥在对象构造成功后出现NULL的情况。
如果没有特殊必要,建议直接使用Rsa的成员方法直接生成一个Rsa对象来操作比较简便,目前这个办法还可以改进,欢迎各位留言。文章来源地址https://www.toymoban.com/news/detail-418465.html

到了这里,关于AspNetCore 成长杂记(一):JWT授权鉴权之生成JWT(其一)的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处: 如若内容造成侵权/违法违规/事实不符,请点击违法举报进行投诉反馈,一经查实,立即删除!

领支付宝红包 赞助服务器费用

相关文章

  • WebApi中添加Jwt鉴权

    JSON Web Token(JWT)是一个非常轻巧的规范。这个规范允许我们使用 JWT 在用户和服务器之间传递安全可靠的信息。一个 JWT 实际上就是一个字符串,它由三部分组成,头部、载荷与签名。前两部分需要经过 Base64 编码,后一部分通过前两部分 Base64 编码后再加密而成。针对前后端

    2024年02月08日
    浏览(38)
  • Springboot实现简单JWT登录鉴权

    登录需要鉴权是为了保护系统的安全性和用户的隐私。在一个 Web 应用中,用户需要提供一定的身份信息(例如用户名和密码)进行登录,登录后系统会为用户生成一个身份令牌(例如 JWT Token)来标识用户的身份。 鉴权的主要目的是确保只有经过身份验证的用户才能访问系统

    2024年02月13日
    浏览(29)
  • 【Express.js】JWT基础鉴权

    Web安全是Web应用中非常重要的一环,主要由后端和服务器承担安全保障 面对请求源,后端有着各种各样的鉴权机制: session,cookie,token,jwt,OAuth,OAuth2,api-key,signature… 本节以jwt为例,演示一个极简的token鉴权 拷贝第一节HelloWorld项目 安装一种jwt依赖(本节使用jsonwebtoken) 接下来我们使

    2024年02月09日
    浏览(36)
  • 在Nodejs中使用JWT进行鉴权

    JSON Web Token(JWT)是一种用于在web上传递信息的标准,它以JSON格式表示信息,通常用于身份验证和授权。 JWT由三个部分组成:Header(头部)、Payload(负载)和Signature(签名)。它们用点号分隔开,形成了一个JWT令牌。 Header Header(头部)是JWT结构的第一部分,它是一个包含关

    2024年02月10日
    浏览(39)
  • ASP.NET Core 鉴权授权三(自定义授权策略、多授权策略、多鉴权架构)

    此处鉴权给的值是6,授权用的1,尝试访问 基于策略的授权中有一个很重要的概念是Requirements,每一个Requirement都代表一个授权条件。 Requirement需要继承接口IAuthorizationRequirement。 已经内置了一些常用的实现: AssertionRequirement :使用最原始的断言形式来声明授权策略。 DenyAn

    2024年02月03日
    浏览(38)
  • 前端刷新token,判断token是否过期(jwt鉴权)

    4.1 什么是 JWT JWT 是 Auth0 提出的通过 对 JSON 进行加密签名来实现授权验证的方案; 就是登录成功后将相关用户信息组成 JSON 对象,然后对这个对象进行某种方式的加密,返回给客户端; 客户端在下次请求时带上这个 Token; 服务端再收到请求时校验 token 合法性,其实也就是在

    2024年02月03日
    浏览(58)
  • JWT加密解密登录鉴权逻辑是什么?

    JWT(JSON Web Token)是一种用于进行认证和授权的开放标准,它可以安全地传输信息,通常用于实现身份验证和鉴权逻辑。 以下是使用JWT进行登录鉴权的一般逻辑: 1:用户登录: 用户提供用户名和密码进行登录。 服务器验证用户提供的凭据是否有效。 2:生成JWT: 服务器验证

    2024年02月06日
    浏览(36)
  • Spring Gateway + Oauth2 + Jwt网关统一鉴权

    之前文章里说过,分布式系统的鉴权有两种方式,一是在网关进行统一的鉴权操作,二是在各个微服务里单独鉴权。 第二种方式比较常见,代码网上也是很多。今天主要是说第一种方式。 重要前提:需要收集各个接口的uri路径和所需权限列表的对应关系,并存入缓存。 服务

    2024年02月03日
    浏览(45)
  • react+koa+vite前后端模拟jwt鉴权过程

    路由组件(生成token) token解析 注册中间件 前端请求(登录+打开主页)

    2024年02月10日
    浏览(37)
  • 【从0到1设计一个网关】基于JWT实现用户鉴权

    代码讲解链接 项目开源代码-点个star领取完整4w字开发文档 JWT(JSON Web Token)是一种开放标准(RFC 7519),用于在各方之间安全地传输信息作为 JSON 对象。它通常用于在不同系统之间进行身份验证和授权,以及在各种应用中传递声明性信息。 JWT 由三部分组成,它们通过点号(

    2024年02月05日
    浏览(36)

觉得文章有用就打赏一下文章作者

支付宝扫一扫打赏

博客赞助

微信扫一扫打赏

请作者喝杯咖啡吧~博客赞助

支付宝扫一扫领取红包,优惠每天领

二维码1

领取红包

二维码2

领红包