个人中心
gpt4 book ai didi

AspNetCore成长杂记(一):JWT授权鉴权之生成JWT(其一)

转载 作者：我是一只小鸟 更新时间：2023-04-19 22:32:03 27 4
gpt4 key购买 nike

引子

最近不知怎么的，自从学了WebAPI(为什么是这个，而不是MVC，还不是因为MVC的Razor语法比较难学，生态不如现有的Vue等框架，webapi很好的结合了前端生态)以后，使用别人的组件一帆风顺，但是不知其意，突然很想自己实现一个基于的JWT认证服务，来好好了解一下这个内容.

起步

自从Session-Cookie方案逐渐用的越来越少，JWT的使用也变得成为主流的安全方案之一，但是在.NET Core的文档(这里的.NET Core指代原来的.Net Core以及之后的版本，文档是微软的开发者文档)并没有对JWT做详细的介绍(可能是在微软看来太简单了，不值得细说)，仅仅略带一提而已，实例代码更是少得可怜，根本没有什么建设性的帮助作用，更像文档工程师在水任务(但不得不说微软的Indentity框架是真的强大，Spring Security的功能基本都实现了)。纵然是费尽心机找资料，钻研文档，还是所获甚少。但是在不断的努力之下还是找到很多方案的，其中比较有用的就拿几个，我仔细研究实践后得到了这几篇文章，不求它有多大帮助，之希望它能帮更多人少走弯路。 然而这几个方案大概可以分成两类:

  1. 非对称加密的JWT(常用于外部网络认证)
  2. 对称加密的JWT （通常是内部系统）
    对比之下，非对称的JWT更安全，更符号系统的安全需求，虽然增加了解密时间，但利大于弊。可是关于非对称的JWT的文章却很少，大部分都是关于对称加密的JWT资料。对于这种情况，我自己也没有什么好的办法，直到我在看一篇文章时，在Nuget上无意找到的一个包改变了我的认知———— JWT （名字粗暴直接）。当然，你直接使用.NET的扩展库也可以，这里面有一个 System.IdentityModel.Tokens.Jwt 可以同样使我们更快乐的创建JWT。关于这部分的内容，我也会在之后的时间单独写一篇文章来实验。
    另外，对于API验证测试工具，一般都是默认的Swagger，如果你喜欢更好用的工具，我推荐使用 ApiFox 或者 EOLink 。

实施

首先创建一个WebAPI项目，至于是否在启动后使用HTTPS，根据自己的需要，一般都是需要的。然后用Nuget或者Dotnet安装 JWT 这个Nuget包即可开始，如果是ASP.NET Core这样需要依赖注入环境的，推荐 JWT.Extensions.AspNetCore 这个包( 强力推荐 )，可以更好的让你开始，仅仅需要基本功能的只用JWT即可。 由于我这里使用的是RSA1024bit，所以需要一个HTTPS的PEM或者CRT证书做CA,各位可以自己生成一个。 首先，我们需要为服务注入这个包的依赖，即使用 builder.Services.AddAuthentication().AddJwt() 来添加相关依赖。那为什么是要使用这个方法呢？如果你通过 对象浏览器 查看API会发现一个 AddJwtDecoder 的方法，同样可以添加依赖，并且更灵活，如果反编译就发现—— AddJwt 方法是对 AddJwtDecoder 的某个重载的调用，后面可以调用其他方法达成同样的效果，所以推荐使用这个方法注入.

服务注入代码如下： 
                          
                            builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = JwtAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtAuthenticationDefaults.AuthenticationScheme;
})
.AddJwt();

然后在应用认证中间件即可.

                        
                          app.UseAuthentication();

完成这些工作以后，还需要创建一个用来根据用户信息生成JWT的控制器，为了防止使用HTTPGet被攻击，我这里采用了HTTPPost。 根据这个包的文档，生成一个JWT字符串非常容易，只需要创建一个x509对象或者两个RSA对象作为公钥和私钥即可，我推荐使用这个包里面提供的FluentApi方式，写起来非常舒服，最后编码生成JWT，完成.

生成JWT的代码如下: 
                          
                            var token = JwtBuilder.Create()
            .WithAlgorithm(algorithm) // 加密算法
            .AddClaim<string>("Account", accountName) //添加用户信息
            .AddClaim<string>("Passwd", passwdContext) //添加用户密码
            .Encode(); //编码生成jwt
完整的控制器代码如下： 
                          
                            [Route("api/[controller]")]
[ApiController]
public class JwtController : ControllerBase
{
    private RSA publicKey = RSA.Create();
    private RSA privateKey = RSA.Create();
    private RS2048Algorithm? algorithm { get; set; }

    public JwtController()
    {
        algorithm = new RS2048Algorithm(publicKey, privateKey);
    }



    [HttpPost]
    public async Task<string> CreateJwt(string accountName, string passwdContext)
    {
        return await Task<string>.Run<string>(() =>
        {
            var token =
            JwtBuilder.Create()
            .WithAlgorithm(algorithm)
            .AddClaim<string>("Account", accountName)
            .AddClaim<string>("Passwd", passwdContext)
            .Encode();

            return token;
        });
    }
}

总结

JWT.Extensions.AspNetCore 这个包是一个集成了常用jwt操作的包，可以让你不必关心JWT的创建过程，这大大化简了我们使用JWT的过程，在一定程度上提高了生产力。如果您喜欢这个库，可以到项目主页上添加一颗星.

注意：

经过本人的亲身经历，x509在.NET6之后的类库 X509Certificate2 不能直接生成私钥，需要使用该类的成员方法： public System.Security.Cryptography.X509Certificates.X509Certificate2 CopyWithPrivateKey (System.Security.Cryptography.ECDiffieHellman privateKey); 创建一个带有私钥的副本，否则会出现私钥在对象构造成功后出现 NULL 的情况。 如果没有特殊必要，建议直接使用 Rsa 的成员方法直接生成一个Rsa对象来操作比较简便，目前这个办法还可以改进，欢迎各位留言.

最后此篇关于AspNetCore成长杂记(一):JWT授权鉴权之生成JWT(其一)的文章就讲到这里了,如果你想了解更多关于AspNetCore成长杂记(一):JWT授权鉴权之生成JWT(其一)的内容请搜索CFSDN的文章或继续浏览相关文章，希望大家以后支持我的博客！ 。

27 4 0
文章推荐： 迁移学习（COAL）《GeneralizedDomainAdaptationwithCovariateandLabelShiftCO-ALignment》
文章推荐： 一篇博客上手request和response
文章推荐： 缓存与数据库双写一致性几种策略分析
文章推荐： flutter系列之:如何自定义动画路由
我是一只小鸟
个人简介

我是一名优秀的程序员,十分优秀！

滴滴打车优惠券免费领取
滴滴打车优惠券
Copyright 2021 - 2024 cfsdn All Rights Reserved 蜀ICP备2022000587号
广告合作:1813099741@qq.com 6ren.com