C# WebAPI 中 JWT Token 验证的完整实现与安全实践

1次阅读

共计 2474 个字符，预计需要花费 7 分钟才能阅读完成。

在构建现代 WebAPI 时，安全验证是必不可少的环节。传统的 Session 或 Cookie 验证方式存在诸多不足，比如服务器需要维护会话状态、跨域访问受限、移动端兼容性差等问题。而 JWT (JSON Web Token) 作为一种轻量级的认证方案，完美解决了这些痛点。

JWT 由三部分组成，用点号连接：

Header：包含 token 类型和签名算法
Payload：存放用户信息和附加数据
Signature：对前两部分签名，防止篡改

JWT 的优势在于：

无状态：服务器不需要存储会话信息
跨域：天然支持跨域访问
灵活性：可以携带任意自定义信息

首先需要安装以下 NuGet 包：

dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer
dotnet add package System.IdentityModel.Tokens.Jwt

在 appsettings.json 中添加配置：

{
  "Jwt": {
    "Key": "your_super_secret_key_at_least_32_chars",
    "Issuer": "your_issuer",
    "Audience": "your_audience",
    "ExpireMinutes": 60
  }
}

创建一个 Token 服务类：

public class TokenService
{
    private readonly IConfiguration _config;

    public TokenService(IConfiguration config)
    {_config = config;}

    public string GenerateToken(User user)
    {
        var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config["Jwt:Key"]));
        var credentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256);

        var claims = new[]
        {new Claim(ClaimTypes.NameIdentifier, user.Username),
            new Claim(ClaimTypes.Email, user.Email),
            new Claim(ClaimTypes.Role, user.Role)
        };

        var token = new JwtSecurityToken(_config["Jwt:Issuer"],
            _config["Jwt:Audience"],
            claims,
            expires: DateTime.Now.AddMinutes(Convert.ToDouble(_config["Jwt:ExpireMinutes"])),
            signingCredentials: credentials);

        return new JwtSecurityTokenHandler().WriteToken(token);
    }
}

在 Startup.cs 中配置：

public void ConfigureServices(IServiceCollection services)
{services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddJwtBearer(options =>
        {
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = true,
                ValidateAudience = true,
                ValidateLifetime = true,
                ValidateIssuerSigningKey = true,
                ValidIssuer = Configuration["Jwt:Issuer"],
                ValidAudience = Configuration["Jwt:Audience"],
                IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:Key"]))
            };
        });

    services.AddScoped<TokenService>();}

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{app.UseAuthentication();
    app.UseAuthorization();
    // 其他中间件...
}