C# JWT实现Token登录验证：从原理到实战的完整指南

1次阅读

没有评论

共计 2780 个字符，预计需要花费 7 分钟才能阅读完成。

JWT（JSON Web Token）是一种开放标准（RFC 7519），用于在各方之间安全地传输信息。它由三部分组成：Header（头部）、Payload（负载）和 Signature（签名）。

Header：通常包含 token 的类型（即 JWT）和使用的签名算法（如 HS256 或 RS256）。
Payload：包含声明（claims），即关于实体（通常是用户）和其他数据的声明。
Signature：用于验证消息在传输过程中没有被篡改。

JWT 的工作流程通常是这样的：

用户登录系统，服务器验证用户凭据。
服务器生成 JWT 并将其返回给客户端。
客户端存储 JWT（通常在 localStorage 或 cookie 中）。
客户端在后续请求中将 JWT 包含在 Authorization 头中。
服务器验证 JWT 并处理请求。

传统 Session 认证和 JWT 各有优缺点，适合不同的场景。

Session 认证 ：
优点：服务器端控制会话，安全性较高。
缺点：需要服务器存储会话信息，不适合分布式系统。
JWT 认证 ：
优点：无状态，适合分布式系统；易于扩展。
缺点：一旦签发，无法轻易撤销；需要处理 token 过期和刷新。

下面是一个完整的 C# 实现 JWT 的示例代码：

using System;
using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;
using System.Text;
using Microsoft.IdentityModel.Tokens;

public class JwtService
{
    private readonly string _secretKey;
    private readonly string _issuer;
    private readonly string _audience;
    private readonly int _expiryInMinutes;

    public JwtService(string secretKey, string issuer, string audience, int expiryInMinutes)
    {
        _secretKey = secretKey;
        _issuer = issuer;
        _audience = audience;
        _expiryInMinutes = expiryInMinutes;
    }

    public string GenerateToken(string userId, string username)
    {var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_secretKey));
        var credentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256);

        var claims = new[]
        {new Claim(JwtRegisteredClaimNames.Sub, userId),
            new Claim(JwtRegisteredClaimNames.UniqueName, username),
            new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
        };

        var token = new JwtSecurityToken(
            issuer: _issuer,
            audience: _audience,
            claims: claims,
            expires: DateTime.UtcNow.AddMinutes(_expiryInMinutes),
            signingCredentials: credentials
        );

        return new JwtSecurityTokenHandler().WriteToken(token);
    }

    public bool ValidateToken(string token)
    {var tokenHandler = new JwtSecurityTokenHandler();
        var validationParameters = GetValidationParameters();

        try
        {tokenHandler.ValidateToken(token, validationParameters, out _);
            return true;
        }
        catch
        {return false;}
    }

    private TokenValidationParameters GetValidationParameters()
    {
        return new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = _issuer,
            ValidAudience = _audience,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_secretKey))
        };
    }
}

在使用 JWT 时，安全性是首要考虑的因素。以下是一些关键的安全措施：