C# Token 处理全解析：从基础概念到安全实践

1次阅读

共计 2081 个字符，预计需要花费 6 分钟才能阅读完成。

Token 在现代 Web 开发中扮演着身份验证和授权的核心角色。它本质上是一串经过加密的字符串，用于代表用户的身份和权限。在 C# 生态中，我们主要接触以下几种 Token 类型：

JWT (JSON Web Token)：由 Header、Payload 和 Signature 三部分组成，适合无状态 API 场景
OAuth Token：常用于第三方授权，如使用 Google/Facebook 登录
Bearer Token：HTTP Authorization 头中的简单令牌格式

JWT 因其自包含性和易扩展性成为主流选择。一个典型的 JWT 示例：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.SflKxwRJSMeKKF2QT4fwpMeJf36POk6yJV_adQssw5c

实际开发中会遇到这些典型问题：

安全性漏洞：
Token 被盗导致身份冒用
敏感信息明文存储
弱加密算法风险
性能问题：
频繁的 Token 验证造成 CPU 负载
过大的 Token 增加网络开销
实现复杂性：
跨域资源共享 (CORS) 配置
移动端 Token 持久化
多服务间的 Token 传递

使用 System.IdentityModel.Tokens.Jwt 库的典型实现：

// 生成 Token
public string GenerateJwtToken(string userId)
{
    var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_configuration["Jwt:Key"]));

    var credentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256);

    var token = new JwtSecurityToken(issuer: _configuration["Jwt:Issuer"],
        audience: _configuration["Jwt:Audience"],
        claims: new[] { new Claim(JwtRegisteredClaimNames.Sub, userId) },
        expires: DateTime.Now.AddMinutes(30),
        signingCredentials: credentials);

    return new JwtSecurityTokenHandler().WriteToken(token);
}

// 验证 Token
public bool ValidateToken(string token)
{var tokenHandler = new JwtSecurityTokenHandler();
    try {
        tokenHandler.ValidateToken(token, new TokenValidationParameters {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = _configuration["Jwt:Issuer"],
            ValidAudience = _configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_configuration["Jwt:Key"]))
        }, out _);
        return true;
    } catch {return false;}
}