C# JWT实现Token登录验证：从原理到生产环境实战

1次阅读

没有评论

共计 2722 个字符，预计需要花费 7 分钟才能阅读完成。

在传统的单体应用架构中，Session 认证是常见的用户认证方式。但随着微服务架构的流行，Session 的局限性逐渐暴露：

服务器内存开销大，每个用户会话都需要存储
难以跨服务共享，需要依赖粘性会话或中央存储
扩展性差，新增服务器节点时需要同步 Session
CSRF 防护依赖额外机制（如 Anti-Forgery Token）

JWT 与 OAuth2/OIDC 都是现代认证方案，但适用场景不同：

JWT：
自包含令牌，适合服务间信任的简单场景
无状态，服务端不需要存储会话信息
轻量级，适合移动端和前后端分离架构
OAuth2/OIDC：
适合第三方授权场景（如使用 Google/Facebook 登录）
需要授权服务器参与，流程更复杂
支持更细粒度的权限控制

对于大多数内部系统，JWT 提供了足够的安全性和简便性。

dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer
dotnet add package System.IdentityModel.Tokens.Jwt

// Program.cs
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
        };
    });

public class TokenService
{
    private readonly IConfiguration _configuration;

    public TokenService(IConfiguration configuration)
    {_configuration = configuration;}

    public string GenerateToken(User user)
    {var claims = new[]
        {new Claim(JwtRegisteredClaimNames.Sub, user.Id),
            new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
            new Claim(ClaimTypes.Name, user.Username),
            new Claim(ClaimTypes.Role, user.Role)
        };

        var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_configuration["Jwt:Key"]));
        var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
        var expires = DateTime.Now.AddMinutes(Convert.ToDouble(_configuration["Jwt:ExpireMinutes"]));

        var token = new JwtSecurityToken(issuer: _configuration["Jwt:Issuer"],
            audience: _configuration["Jwt:Audience"],
            claims: claims,
            expires: expires,
            signingCredentials: creds
        );

        return new JwtSecurityTokenHandler().WriteToken(token);
    }
}

[ApiController]
[Route("api/[controller]")]
public class AuthController : ControllerBase
{
    private readonly TokenService _tokenService;

    public AuthController(TokenService tokenService)
    {_tokenService = tokenService;}

    [HttpPost("login")]
    public IActionResult Login([FromBody] LoginRequest request)
    {
        // 1. 验证用户凭证（省略具体实现）var user = AuthenticateUser(request.Username, request.Password);
        if (user == null)
            return Unauthorized();

        // 2. 生成 Token
        var token = _tokenService.GenerateToken(user);

        // 3. 返回 Token 和刷新 Token
        return Ok(new 
        {
            token,
            refreshToken = GenerateRefreshToken(user.Id)
        });
    }
}