C#实现JWT Token颁发与验证的实战指南：从登录到安全校验

1次阅读

没有评论

共计 2227 个字符，预计需要花费 6 分钟才能阅读完成。

在传统的 Web 应用中，Session 认证是最常见的用户认证方式。服务器保存用户状态，浏览器通过 Cookie 携带 Session ID。但这种模式存在几个明显问题：

服务器内存压力 ：每个活跃用户都会占用服务器内存
横向扩展困难 ：需要 Session 共享机制才能支持多服务器
CSRF 风险 ：依赖 Cookie 容易遭受跨站请求伪造攻击

JWT(JSON Web Token) 则采用无状态方案，所有认证信息都包含在 Token 本身中。它的优势包括：

自包含：Token 内直接存储用户声明 (Claims)
跨域友好：可通过 URL、Header 等多种方式传递
签名保护：防止内容被篡改

常见的认证方案各有适用场景：

Cookie/Session：适合传统 Web 应用，需要服务端状态维护
OAuth2：适合第三方授权场景，如社交登录
JWT：适合前后端分离架构，特别是移动端和 API 服务

对于大多数 C# Web API 项目，JWT 提供了最佳的平衡点：

实现简单，不需要额外存储
天然支持分布式系统
客户端处理逻辑统一

dotnet add package System.IdentityModel.Tokens.Jwt

在 ASP.NET Core 的 Program.cs 中添加：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuer = "your-issuer",
            ValidateAudience = true,
            ValidAudience = "your-audience",
            ValidateLifetime = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your-256-bit-secret")),
            ValidateIssuerSigningKey = true,
        };
    });

public string GenerateJwtToken(User user)
{
    var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your-256-bit-secret"));
    var credentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256);

    var claims = new[]
    {new Claim(JwtRegisteredClaimNames.Sub, user.Id.ToString()),
        new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
        new Claim(ClaimTypes.Role, user.Role)
    };

    var token = new JwtSecurityToken(
        issuer: "your-issuer",
        audience: "your-audience",
        claims: claims,
        expires: DateTime.Now.AddMinutes(30),
        signingCredentials: credentials);

    return new JwtSecurityTokenHandler().WriteToken(token);
}

[HttpPost("login")]
public IActionResult Login([FromBody] LoginModel model)
{var user = _userService.Authenticate(model.Username, model.Password);

    if (user == null)
        return Unauthorized();

    var token = GenerateJwtToken(user);

    return Ok(new { Token = token});
}