C# JWT实现Token登录验证：从原理到实战的完整指南

1次阅读

没有评论

共计 2631 个字符，预计需要花费 7 分钟才能阅读完成。

JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在各方之间安全地传输信息作为 JSON 对象。它由三部分组成：Header、Payload 和 Signature。

Header：包含令牌的类型和使用的哈希算法
Payload：包含声明（claims），即用户信息和附加数据
Signature：用于验证消息在传输过程中未被更改

JWT 的工作流程如下：

用户登录，服务器验证凭证
服务器生成 JWT 并返回给客户端
客户端存储 JWT（通常在 localStorage 或 cookie 中）
客户端在后续请求中发送 JWT（通常在 Authorization 头中）
服务器验证 JWT 并处理请求

传统 Session 认证和 JWT 各有优缺点：

Session 认证
服务器端存储会话状态
需要服务器维护会话存储
跨域问题较复杂
扩展性受限
JWT 认证
无状态，服务器不需要存储会话
易于跨域实现
更好的扩展性
但令牌大小通常比 Session ID 大
一旦签发，在过期前无法撤销

下面是在 ASP.NET Core 中实现 JWT 认证的完整代码示例：

// 在 Startup.cs 中配置 JWT
public void ConfigureServices(IServiceCollection services)
{services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddJwtBearer(options =>
        {
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = true,
                ValidateAudience = true,
                ValidateLifetime = true,
                ValidateIssuerSigningKey = true,
                ValidIssuer = Configuration["Jwt:Issuer"],
                ValidAudience = Configuration["Jwt:Audience"],
                IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:Key"]))
            };
        });
}

// 登录控制器
[ApiController]
[Route("[controller]")]
public class AuthController : ControllerBase
{
    private readonly IConfiguration _config;

    public AuthController(IConfiguration config)
    {_config = config;}

    [HttpPost("login")]
    public IActionResult Login([FromBody] UserModel user)
    {
        // 验证用户凭据（省略实际数据库验证）if (user.Username != "test" || user.Password != "password")
            return Unauthorized();

        // 生成 JWT 令牌
        var tokenHandler = new JwtSecurityTokenHandler();
        var key = Encoding.ASCII.GetBytes(_config["Jwt:Key"]);
        var tokenDescriptor = new SecurityTokenDescriptor
        {Subject = new ClaimsIdentity(new[] 
            {new Claim(ClaimTypes.Name, user.Username)
            }),
            Expires = DateTime.UtcNow.AddMinutes(30),
            Issuer = _config["Jwt:Issuer"],
            Audience = _config["Jwt:Audience"],
            SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), 
                SecurityAlgorithms.HmacSha256Signature)
        };
        var token = tokenHandler.CreateToken(tokenDescriptor);
        var tokenString = tokenHandler.WriteToken(token);

        return Ok(new { Token = tokenString});
    }
}

// 受保护的 API
[ApiController]
[Route("[controller]")]
[Authorize]
public class ValuesController : ControllerBase
{[HttpGet]
    public IActionResult Get()
    {return Ok(new { Message = "这是受保护的数据"});
    }
}