C# WebAPI 中实现 JWT Token 验证的完整指南：从原理到生产环境部署

1次阅读

没有评论

共计 3148 个字符，预计需要花费 8 分钟才能阅读完成。

在现代 Web 开发中，身份验证是保障系统安全的重要环节。传统的 Session 验证方式虽然简单，但在分布式系统和微服务架构中暴露出明显不足：

服务器需要存储 Session 状态，增加了内存压力
跨域访问困难，不利于前后端分离架构
难以扩展，无法适应多服务器部署
移动端支持不佳

JWT(JSON Web Token)作为一种无状态验证方案，完美解决了这些问题。它通过加密的 JSON 对象在客户端和服务器之间安全传递信息，无需服务器保存验证状态。

JWT 由三部分组成，通过点 (.) 连接：

Header：包含令牌类型和使用的哈希算法
Payload：包含声明(claims)，即用户信息和附加数据
Signature：对前两部分的签名，防止数据篡改

一个典型的 JWT 看起来像这样：
xxxxx.yyyyy.zzzzz

首先在 Program.cs 中添加 JWT 服务配置：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
        };
    });

创建 Token 生成服务：

public class TokenService
{
    private readonly IConfiguration _configuration;

    public TokenService(IConfiguration configuration)
    {_configuration = configuration;}

    public string GenerateToken(User user)
    {var claims = new[]
        {new Claim(ClaimTypes.NameIdentifier, user.Id.ToString()),
            new Claim(ClaimTypes.Name, user.Username),
            new Claim(ClaimTypes.Email, user.Email),
            new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
        };

        var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_configuration["Jwt:Key"]));

        var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

        var token = new JwtSecurityToken(issuer: _configuration["Jwt:Issuer"],
            audience: _configuration["Jwt:Audience"],
            claims: claims,
            expires: DateTime.Now.AddMinutes(30), // 30 分钟有效期
            signingCredentials: creds);

        return new JwtSecurityTokenHandler().WriteToken(token);
    }
}

实现 Refresh Token 可以有效减少用户频繁登录：

public class AuthController : ControllerBase
{
    // 登录接口
    [HttpPost("login")]
    public IActionResult Login([FromBody] LoginModel model)
    {
        // 验证用户逻辑...

        var token = _tokenService.GenerateToken(user);
        var refreshToken = _tokenService.GenerateRefreshToken();

        // 保存 refreshToken 到数据库或缓存
        _userService.SaveRefreshToken(user.Id, refreshToken);

        return Ok(new 
        {
            Token = token,
            RefreshToken = refreshToken,
            ExpiresIn = 1800 // 30 分钟
        });
    }

    // 刷新 Token 接口
    [HttpPost("refresh")]
    public IActionResult Refresh([FromBody] RefreshModel model)
    {
        // 验证 refreshToken...

        // 生成新 Token
        var newToken = _tokenService.GenerateToken(user);
        var newRefreshToken = _tokenService.GenerateRefreshToken();

        // 更新数据库中的 refreshToken
        _userService.UpdateRefreshToken(model.RefreshToken, newRefreshToken);

        return Ok(new 
        {
            Token = newToken,
            RefreshToken = newRefreshToken,
            ExpiresIn = 1800
        });
    }
}