C# JWT实现Token登录验证：从原理到生产环境实践

1次阅读

没有评论

共计 2126 个字符，预计需要花费 6 分钟才能阅读完成。

在 Web 应用中，用户认证是保证系统安全的重要环节。传统的 Session 认证方式存在一些明显的局限性：

服务器需要存储 Session 数据，增加了内存压力
在分布式系统中，Session 同步问题难以解决
移动端和跨域场景下支持不够友好
扩展性较差，难以支持现代微服务架构

JWT(JSON Web Token)作为一种无状态的认证机制，正好可以解决这些问题。它通过客户端存储令牌，服务器只需验证令牌的有效性，无需保存会话状态，非常适合分布式系统。

JWT 由三部分组成，用点 (.) 连接：

Header – 包含令牌类型和签名算法
Payload – 包含声明 (claims) 和数据
Signature – 对前两部分的签名，防止篡改

JWT 的工作流程很简单：

用户登录成功后，服务器生成 JWT 并返回给客户端
客户端保存 JWT，后续请求在 Authorization 头中携带
服务器验证 JWT 有效性并处理请求

dotnet add package System.IdentityModel.Tokens.Jwt

public string GenerateJwtToken(User user)
{var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config["Jwt:Key"]));
    var credentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256);

    var claims = new[]
    {new Claim(JwtRegisteredClaimNames.Sub, user.Id.ToString()),
        new Claim(JwtRegisteredClaimNames.Email, user.Email),
        new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
    };

    var token = new JwtSecurityToken(issuer: _config["Jwt:Issuer"],
        audience: _config["Jwt:Audience"],
        claims: claims,
        expires: DateTime.Now.AddMinutes(30),
        signingCredentials: credentials);

    return new JwtSecurityTokenHandler().WriteToken(token);
}

在 ASP.NET Core 中配置 JWT 认证：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = Configuration["Jwt:Issuer"],
            ValidAudience = Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:Key"]))
        };
    });