C# WebAPI 实战：从零构建 JWT Token 验证系统

1次阅读

没有评论

共计 3099 个字符，预计需要花费 8 分钟才能阅读完成。

在 WebAPI 开发中，身份验证是保护接口安全的第一道防线。传统的 Session 验证方式虽然简单，但在分布式系统和前后端分离架构中逐渐暴露出问题：

服务器需要存储 Session 状态，增加内存压力
不利于水平扩展，跨服务器共享 Session 复杂
移动端和跨域场景支持不佳

相比之下，Token 验证 (特别是 JWT) 具有明显优势：

无状态：服务器不需要存储 Token
跨域友好：天然支持 CORS
移动端适配：更适合 APP 开发
自包含：Token 本身包含用户信息

JWT(JSON Web Token)是目前最流行的 Token 实现方案，由三部分组成：

Header：包含算法类型和 token 类型
Payload：存放用户信息和 claims(声明)
Signature：对前两部分的签名，防止篡改

JWT 的工作流程很简单：

用户登录成功后，服务器生成 JWT 返回给客户端
客户端后续请求都在 Header 中携带此 Token
服务器验证 Token 有效性并处理请求

在项目中添加以下包：

Microsoft.AspNetCore.Authentication.JwtBearer
System.IdentityModel.Tokens.Jwt
Microsoft.IdentityModel.Tokens

创建 Token 生成服务类：

public class JwtService
{
    private readonly IConfiguration _config;

    public JwtService(IConfiguration config)
    {_config = config;}

    public string GenerateToken(User user)
    {
        var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config["Jwt:Key"]));
        var credentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256);

        var claims = new[]
        {new Claim(ClaimTypes.NameIdentifier, user.Username),
            new Claim(ClaimTypes.Email, user.Email),
            new Claim(ClaimTypes.Role, user.Role)
        };

        var token = new JwtSecurityToken(_config["Jwt:Issuer"],
            _config["Jwt:Audience"],
            claims,
            expires: DateTime.Now.AddMinutes(30),
            signingCredentials: credentials);

        return new JwtSecurityTokenHandler().WriteToken(token);
    }
}

在 Program.cs 中添加认证服务：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
        };
    });

可以基于角色配置不同的授权策略：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("AdminOnly", policy => 
        policy.RequireRole("Admin"));
    options.AddPolicy("UserOnly", policy =>
        policy.RequireRole("User"));
});

[ApiController]
[Route("api/[controller]")]
public class AuthController : ControllerBase
{
    private readonly JwtService _jwtService;

    public AuthController(JwtService jwtService)
    {_jwtService = jwtService;}

    [HttpPost("login")]
    public IActionResult Login([FromBody] LoginRequest request)
    {
        // 这里应该是用户验证逻辑
        if (request.Username != "admin" || request.Password != "123456")
            return Unauthorized();

        var user = new User 
        { 
            Username = request.Username, 
            Email = "admin@example.com", 
            Role = "Admin" 
        };

        var token = _jwtService.GenerateToken(user);

        return Ok(new { Token = token});
    }
}

[ApiController]
[Route("api/[controller]")]
[Authorize] // 要求认证
public class ProtectedController : ControllerBase
{[HttpGet]
    [Authorize(Policy = "AdminOnly")] // 要求 Admin 角色
    public IActionResult Get()
    {return Ok("This is protected data for admins only!");
    }
}