C#登录认证实战：基于JWT的Token颁发机制与安全实践

1次阅读

没有评论

共计 3955 个字符，预计需要花费 10 分钟才能阅读完成。

在传统的 Web 应用中，Session 认证是常见的用户身份验证方式。但随着前后端分离架构和微服务的普及，Session 暴露了明显短板：

服务器内存依赖：Session 数据存储在服务器内存中，横向扩展时需额外处理 Session 共享
跨域限制：Cookie 默认不支持跨域，对多端接入不友好
CSRF 风险：基于 Cookie 的机制容易遭受跨站请求伪造攻击

JWT（JSON Web Token）通过标准化令牌解决了这些问题：

无状态：所有认证信息包含在 Token 中，服务端无需存储
跨域友好：通过 Authorization 头传输，天然支持跨域
自包含：Payload 可存储业务相关 claims，减少数据库查询

一个标准的 JWT 由三部分组成，通过点号连接：

Header.Payload.Signature

通常包含令牌类型和签名算法，例如：

{
  "alg": "HS256",
  "typ": "JWT"
}

包含 claims（声明），分为三类：

Registered claims：预定义字段如 iss(签发者)、exp(过期时间)
Public claims：公开定义的字段
Private claims：业务自定义字段

示例：

{
  "sub": "1234567890",
  "name": "John Doe",
  "admin": true,
  "iat": 1516239022
}

对前两部分 Base64 编码后的字符串进行签名，防止篡改。HS256 算法示例如下：

HMACSHA256(base64UrlEncode(header) + "." +
  base64UrlEncode(payload),
  secret)

dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer

// WARNING: 生产环境必须使用强密钥且长度 >=256 位
var secretKey = "your-256-bit-secret";
var signingKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(secretKey));

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuer = "your-domain.com",

            ValidateAudience = true,
            ValidAudience = "your-audience",

            ValidateLifetime = true,
            ClockSkew = TimeSpan.Zero, // 严格过期时间检查

            ValidateIssuerSigningKey = true,
            IssuerSigningKey = signingKey
        };

        // 处理 401 响应格式
        options.Events = new JwtBearerEvents()
        {
            OnAuthenticationFailed = context =>
            {
                context.Response.StatusCode = 401;
                return Task.CompletedTask;
            }
        };
    });

[ApiController]
[Route("api/[controller]")]
public class AuthController : ControllerBase
{
    private readonly UserManager<IdentityUser> _userManager;
    private readonly IConfiguration _config;

    public AuthController(
        UserManager<IdentityUser> userManager,
        IConfiguration config)
    {
        _userManager = userManager;
        _config = config;
    }

    [HttpPost("login")]
    public async Task<IActionResult> Login([FromBody] LoginModel model)
    {
        // 1. 验证用户
        var user = await _userManager.FindByNameAsync(model.Username);
        if (user == null || !await _userManager.CheckPasswordAsync(user, model.Password))
            return Unauthorized();

        // 2. 生成 Claims
        var authClaims = new List<Claim>
        {new(ClaimTypes.Name, user.UserName),
            new(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
            // 添加自定义 claims
            new("Department", "IT")
        };

        // 3. 获取用户角色并添加
        var roles = await _userManager.GetRolesAsync(user);
        authClaims.AddRange(roles.Select(role => new Claim(ClaimTypes.Role, role)));

        // 4. 生成 Token
        var token = new JwtSecurityToken(issuer: _config["JWT:ValidIssuer"],
            audience: _config["JWT:ValidAudience"],
            expires: DateTime.Now.AddHours(3),
            claims: authClaims,
            signingCredentials: new SigningCredentials(new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config["JWT:Secret"])),
                SecurityAlgorithms.HmacSha256)
        );

        return Ok(new
        {token = new JwtSecurityTokenHandler().WriteToken(token),
            expiration = token.ValidTo
        });
    }
}

// 在登录响应中返回 refreshToken
var refreshToken = GenerateRefreshToken();
await _userManager.SetAuthenticationTokenAsync(
    user, 
    "MyApp", 
    "RefreshToken", 
    refreshToken);

// 刷新接口实现
[HttpPost("refresh")]
public async Task<IActionResult> Refresh([FromBody] RefreshModel model)
{var principal = GetPrincipalFromExpiredToken(model.AccessToken);
    var username = principal.Identity?.Name;

    var user = await _userManager.FindByNameAsync(username);
    if (user == null || 
        await _userManager.GetAuthenticationTokenAsync(user, "MyApp", "RefreshToken") != model.RefreshToken)
        return BadRequest();

    return GenerateNewToken(user);
}