C# Token 处理全解析：从基础概念到安全实践

1次阅读

没有评论

共计 2078 个字符，预计需要花费 6 分钟才能阅读完成。

在现代 Web 应用中，Token 是身份验证和授权的核心机制。它允许服务器在用户登录后生成一个加密的字符串，客户端在后续请求中携带这个 Token 来证明身份，而无需每次都发送用户名和密码。

在 C# 开发中，最常见的 Token 类型包括：

JWT (JSON Web Token)：一种开放标准(RFC 7519)，以 JSON 对象形式安全传输信息，通常用于身份验证和信息交换。
OAuth Token：用于授权，允许第三方应用访问用户资源而无需共享凭证。

JWT 特别受欢迎，因为它具有自包含特性（包含所有必要信息）、紧凑性（可通过 URL 传输）和标准化结构。

尽管 Token 机制强大，但在实际应用中开发者常遇到以下问题：

安全性漏洞：Token 被盗用、XSS 攻击窃取 Token、CSRF 攻击等
性能瓶颈：每次请求都验证 Token 可能增加服务器负载
跨域挑战：在微服务架构中跨域共享 Token 的复杂性
管理困难：Token 刷新、撤销和过期处理的复杂性

下面我们来看一个使用 System.IdentityModel.Tokens.Jwt 库生成和验证 JWT 的 C# 示例：

// 生成 Token
public string GenerateJwtToken(string userId, string secretKey)
{var tokenHandler = new JwtSecurityTokenHandler();
    var key = Encoding.ASCII.GetBytes(secretKey);

    var tokenDescriptor = new SecurityTokenDescriptor
    {Subject = new ClaimsIdentity(new[] 
        {new Claim(ClaimTypes.NameIdentifier, userId)
        }),
        Expires = DateTime.UtcNow.AddDays(7), // Token 有效期
        SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), 
            SecurityAlgorithms.HmacSha256Signature)
    };

    var token = tokenHandler.CreateToken(tokenDescriptor);
    return tokenHandler.WriteToken(token);
}

// 验证 Token
public ClaimsPrincipal ValidateToken(string token, string secretKey)
{var tokenHandler = new JwtSecurityTokenHandler();
    var key = Encoding.ASCII.GetBytes(secretKey);

    try
    {
        tokenHandler.ValidateToken(token, new TokenValidationParameters
        {
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(key),
            ValidateIssuer = false,
            ValidateAudience = false,
            ClockSkew = TimeSpan.Zero // 精确校验过期时间
        }, out SecurityToken validatedToken);

        return tokenHandler.ReadToken(token) as JwtSecurityToken;
    }
    catch
    {return null;}
}

为确保 Token 机制既安全又高效，我们需要考虑以下方面：