C# WebAPI 中 JWT Token 验证的完整实现与安全实践

1次阅读

共计 2905 个字符，预计需要花费 8 分钟才能阅读完成。

在构建现代 WebAPI 时，安全性始终是首要考虑的问题之一。传统的基于 Session 或 Cookie 的认证方式在分布式系统和微服务架构中显得力不从心，而 JWT (JSON Web Token) 提供了一种轻量级、无状态的解决方案。本文将详细介绍如何在 ASP.NET Core WebAPI 中实现 JWT Token 验证，涵盖从基础概念到实际部署的全过程。

API 安全的核心是确保只有合法的请求能够访问受保护的资源。传统方式如 Basic Auth 或 Session 存在以下问题：

Basic Auth：每次请求都需要发送用户名密码，安全性低
Session：服务器需要维护会话状态，不利于扩展
Cookie：受限于同源策略，不适合跨域场景

JWT 通过将用户信息编码到 Token 中，实现了无状态认证，特别适合 RESTful API 和微服务架构。

JWT 由三部分组成，通过 . 连接：

Header：包含算法和类型信息
Payload：存放实际数据（如用户 ID、角色等）
Signature：用于验证消息完整性的签名

它的优势在于：

自包含：所有必要信息都在 Token 中
可验证：通过签名确保未被篡改
跨语言：基于标准 JSON，各种语言都支持

首先需要安装以下包：

dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer
dotnet add package System.IdentityModel.Tokens.Jwt

在 appsettings.json 中添加配置：

{
  "Jwt": {
    "Key": "YourSuperSecretKeyHereAtLeast32Characters",
    "Issuer": "yourdomain.com",
    "Audience": "yourdomain.com",
    "ExpireMinutes": 60
  }
}

在 ConfigureServices 方法中添加认证服务：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = Configuration["Jwt:Issuer"],
            ValidAudience = Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:Key"]))
        };
    });

然后在 Configure 方法中启用中间件：

app.UseAuthentication();
app.UseAuthorization();

创建 TokenService 类：

public class TokenService
{
    private readonly IConfiguration _configuration;

    public TokenService(IConfiguration configuration)
    {_configuration = configuration;}

    public string GenerateToken(User user)
    {var claims = new[]
        {new Claim(JwtRegisteredClaimNames.Sub, user.Id),
            new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
            new Claim(ClaimTypes.Role, user.Role)
        };

        var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_configuration["Jwt:Key"]));
        var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

        var token = new JwtSecurityToken(issuer: _configuration["Jwt:Issuer"],
            audience: _configuration["Jwt:Audience"],
            claims: claims,
            expires: DateTime.Now.AddMinutes(Convert.ToDouble(_configuration["Jwt:ExpireMinutes"])),
            signingCredentials: creds);

        return new JwtSecurityTokenHandler().WriteToken(token);
    }
}

在需要保护的 Controller 或 Action 上添加 [Authorize] 特性：

[Authorize]
[ApiController]
[Route("api/[controller]")]
public class SecureController : ControllerBase
{[HttpGet]
    public IActionResult GetSecretData()
    {return Ok("This is protected data!");
    }
}