C# JWT实现Token登录验证：从原理到生产环境实践

1次阅读

共计 2066 个字符，预计需要花费 6 分钟才能阅读完成。

传统 Session 认证在 Web 应用中广泛使用，但它存在一些明显的局限性。Session 通常存储在服务器内存或数据库中，当用户量增大时，服务器内存压力会显著增加。此外，在分布式系统中，Session 共享也是一个麻烦的问题，需要通过 Redis 等外部存储来解决，增加了系统复杂性。

相比之下，JWT(JSON Web Token)采用无状态设计，所有必要信息都包含在 Token 本身中，服务器不需要保存任何会话信息，这使得它特别适合分布式系统和微服务架构。

JWT 由三部分组成，用点 (.) 分隔：

Header – 包含 token 类型和使用的算法
Payload – 包含声明(claims)，即用户数据和其他元数据
Signature – 用于验证消息在传输过程中未被篡改

JWT 的工作流程很简单：

用户使用凭证登录
服务器验证凭证并生成 JWT
客户端存储 JWT 并在后续请求中发送
服务器验证 JWT 并处理请求

首先安装必要的 NuGet 包：

dotnet add package System.IdentityModel.Tokens.Jwt

// 配置 JWT 参数
var jwtSettings = new JwtSettings
{
    Secret = "your-256-bit-secret",
    TokenLifetime = TimeSpan.FromHours(1)
};

// 创建 token
var tokenHandler = new JwtSecurityTokenHandler();
var key = Encoding.ASCII.GetBytes(jwtSettings.Secret);

var tokenDescriptor = new SecurityTokenDescriptor
{Subject = new ClaimsIdentity(new[]
    {new Claim(ClaimTypes.Name, username),
        new Claim(ClaimTypes.Role, "Admin")
    }),
    Expires = DateTime.UtcNow.Add(jwtSettings.TokenLifetime),
    SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), 
        SecurityAlgorithms.HmacSha256Signature)
};

var token = tokenHandler.CreateToken(tokenDescriptor);
return tokenHandler.WriteToken(token);

在 ASP.NET Core 中集成 JWT 认证：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.ASCII
                .GetBytes(jwtSettings.Secret)),
            ValidateIssuer = false,
            ValidateAudience = false,
            ValidateLifetime = true,
            ClockSkew = TimeSpan.Zero
        };
    });