C# Token 处理从入门到精通：身份验证与安全实践指南

1次阅读

没有评论

共计 2739 个字符，预计需要花费 7 分钟才能阅读完成。

在现代 Web 应用中，身份验证是保障系统安全的重要环节。Token（令牌）作为一种轻量级的身份验证机制，已经逐渐取代传统的 Session 机制。那么，Token 究竟是什么？它又是如何工作的呢？

Token 与 Session 的区别 ：
Session 机制依赖于服务器存储用户状态，而 Token 是无状态的，所有必要信息都包含在 Token 本身中。
Session 需要服务器维护会话状态，这在分布式系统中会带来复杂性；Token 则天然支持分布式。
Session 依赖 Cookie 传输，而 Token 可以通过多种方式传输（如 Header）。
JWT 结构组成 ：
Header：包含 Token 类型和签名算法（如 HS256 或 RS256）。
Payload：包含 Claims（用户信息和其他数据）。
Signature：用于验证 Token 完整性的签名部分。

在实际开发中，许多开发者在使用 Token 时会犯一些常见错误，这些错误可能导致严重的安全漏洞：

硬编码密钥 ：将加密密钥直接写在代码中，一旦代码泄露，攻击者可以伪造任意 Token。
过期时间设置不当 ：Token 过期时间过长会增加被窃取后的风险窗口；过短则影响用户体验。
敏感信息存储在 Token 中 ：将密码等敏感信息直接放在 Token 的 Payload 中。
缺乏签名验证 ：不验证 Token 签名，使得伪造 Token 成为可能。
不安全的 Token 传输 ：通过 URL 参数传输 Token 可能导致 Token 泄露。

让我们来看一个使用 System.IdentityModel.Tokens.Jwt 库生成和验证 JWT 的完整示例：

// 生成 JWT Token
public string GenerateJwtToken(string userId, string secretKey)
{var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(secretKey));
    var credentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256);

    var claims = new[]
    {new Claim(JwtRegisteredClaimNames.Sub, userId),
        new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
        new Claim("custom_claim", "custom_value")
    };

    var token = new JwtSecurityToken(
        issuer: "your_issuer",
        audience: "your_audience",
        claims: claims,
        expires: DateTime.Now.AddMinutes(30),
        signingCredentials: credentials);

    return new JwtSecurityTokenHandler().WriteToken(token);
}

// 验证 JWT Token
public bool ValidateJwtToken(string token, string secretKey)
{
    try
    {var tokenHandler = new JwtSecurityTokenHandler();
        var key = Encoding.UTF8.GetBytes(secretKey);

        tokenHandler.ValidateToken(token, new TokenValidationParameters
        {
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(key),
            ValidateIssuer = true,
            ValidIssuer = "your_issuer",
            ValidateAudience = true,
            ValidAudience = "your_audience",
            ValidateLifetime = true,
            ClockSkew = TimeSpan.Zero
        }, out SecurityToken validatedToken);

        return true;
    }
    catch
    {return false;}
}

在实现 Token 认证时，我们需要考虑多种安全威胁：