C#登录认证实战：基于JWT的Token颁发机制与安全实践

1次阅读

没有评论

共计 2490 个字符，预计需要花费 7 分钟才能阅读完成。

传统的 Session 认证方式在分布式系统中暴露出明显短板。每次请求都需要服务器查询 Session 存储（如内存或数据库），这导致：

横向扩展困难：需要 Session 共享机制
CSRF 攻击风险：依赖 Cookie 携带 SessionID
移动端适配差：原生 App 处理 Cookie 不便

JWT 通过自包含的 Token 结构完美解决这些问题：

无状态：所有认证信息存储在 Token 中
跨域友好：通过 Authorization 头传递
标准化：RFC 7519 规范，各语言通用

一个典型的 JWT 形如aaa.bbb.ccc，由三部分组成：

Header：声明令牌类型和签名算法
```
{
  "alg": "HS256",
  "typ": "JWT"
}
```

Payload：携带业务数据（称为 Claims）

{
  "sub": "user123",
  "name": "张三",
  "iat": 1516239022,
  "exp": 1516242622
}

Signature：对前两部分签名，防篡改

HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer

// Program.cs
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuer = "yourdomain.com",
            ValidateAudience = true,
            ValidAudience = "yourclient",
            ValidateLifetime = true,
            // WARNING: 生产环境必须使用安全方式存储
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]!)),
            ValidateIssuerSigningKey = true,
            ClockSkew = TimeSpan.Zero // 严格校验过期时间
        };
    });

[ApiController]
[Route("api/[controller]")]
public class AuthController : ControllerBase
{
    private readonly IConfiguration _config;

    public AuthController(IConfiguration config)
    {_config = config;}

    [HttpPost("login")]
    public IActionResult Login([FromBody] LoginModel user)
    {
        // 1. 验证用户凭证（示例简化，实际应查数据库）if (user.Username != "test" || user.Password != "123456")
            return Unauthorized();

        // 2. 生成 JWT
        var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config["Jwt:Key"]!));

        var credentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256);

        var claims = new[]
        {new Claim(JwtRegisteredClaimNames.Sub, user.Username),
            new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
            new Claim("CustomClaim", "SomeValue")
        };

        var token = new JwtSecurityToken(issuer: _config["Jwt:Issuer"],
            audience: _config["Jwt:Audience"],
            claims: claims,
            expires: DateTime.Now.AddMinutes(30),
            signingCredentials: credentials);

        return Ok(new { token = new JwtSecurityTokenHandler().WriteToken(token) });
    }
}