C# Token 处理从入门到精通：身份验证与安全实践指南

1次阅读

共计 2080 个字符，预计需要花费 6 分钟才能阅读完成。

在现代 Web 开发中，身份验证是保护应用安全的关键环节。Token-based 认证因其无状态、可扩展的特性成为主流方案，但对于刚接触 C#的开发者来说，Token 的实现和安全处理常常充满挑战。本文将带您全面了解 C# 中 Token 处理的方方面面。

Token 是服务端生成的一段加密字符串，用于表示客户端的身份和权限。与传统的 Session 不同，Token 包含了所有必要信息，服务器无需存储会话状态。

Session
服务器存储会话状态
依赖 Cookie
扩展性受限
Token
无状态，信息包含在 Token 中
可跨域使用
更适合分布式系统

JWT(JSON Web Token) 是目前最流行的 Token 格式，由三部分组成：

Header – 算法和 Token 类型
Payload – 包含 Claims(声明)
Signature – 验证完整性的签名

很多开发者为了方便，在代码中直接写入密钥，这会导致严重的安全风险。

过长的 Token 有效期会增加安全风险，而过短又会降低用户体验。

在 Token 中存储密码等敏感信息是常见错误。

dotnet add package System.IdentityModel.Tokens.Jwt

// 创建安全密钥
var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your-256-bit-secret"));
var credentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256);

// 设置 Claims
var claims = new[]
{new Claim(JwtRegisteredClaimNames.Sub, "user123"),
    new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
    new Claim("customClaim", "customValue")
};

// 创建 Token
var token = new JwtSecurityToken(
    issuer: "your-issuer",
    audience: "your-audience",
    claims: claims,
    expires: DateTime.Now.AddMinutes(30),
    signingCredentials: credentials);

// 生成 Token 字符串
var tokenString = new JwtSecurityTokenHandler().WriteToken(token);

在 Startup.cs 中添加 JWT 认证：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = "your-issuer",
            ValidAudience = "your-audience",
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your-256-bit-secret"))
        };
    });