c# - Request Header中的JWT在接收.Net Core API中是不一样的

Question

当我从我的 Angular 应用程序向我的 .Net Core 2 API 发出请求时，JWT 与请求 header 中发送的 JWT 不同。

Startup.cs

public class Startup
{
    public Startup(IHostingEnvironment env)
    {
        var builder = new ConfigurationBuilder()
            .SetBasePath(env.ContentRootPath)
            .AddJsonFile("appsettings.json", optional: false, reloadOnChange: true)
            .AddJsonFile($"appsettings.{env.EnvironmentName}.json", optional: true)
            .AddEnvironmentVariables();
        _config = builder.Build();
    }

    IConfigurationRoot _config;

    // This method gets called by the runtime. Use this method to add services to the container.
    public void ConfigureServices(IServiceCollection services)
    {
        services.AddSingleton(_config);
        services.AddDbContext<ApplicationDbContext>(ServiceLifetime.Transient);

        services.AddTransient<IEmailSender, AuthMessageSender>();
        services.AddTransient<ISmsSender, AuthMessageSender>();

        services.AddSingleton<IUserTwoFactorTokenProvider<ApplicationUser>, DataProtectorTokenProvider<ApplicationUser>>();

        // Add application services.

        // Add application repositories.

        // Add options.
        services.AddOptions();
        services.Configure<StorageAccountOptions>(_config.GetSection("StorageAccount"));

        // Add other.
        services.AddSingleton<IHttpContextAccessor, HttpContextAccessor>();
        services.AddTransient<ApiExceptionFilter>();

        // this makes "this.User" reflect the properties of the jwt sent in the request
        services.AddTransient<ClaimsPrincipal>(s => s.GetService<IHttpContextAccessor>().HttpContext.User);

        services.AddIdentity<ApplicationUser, IdentityRole>(options =>
        {
            // set password complexity requirements
            options.Password.RequireDigit = true;
            options.Password.RequireLowercase = true;
            options.Password.RequireUppercase = false;
            options.Password.RequireNonAlphanumeric = false;
            options.Password.RequiredLength = 6;

            options.Tokens.ProviderMap.Add("Default",
            new TokenProviderDescriptor(typeof(IUserTwoFactorTokenProvider<ApplicationUser>)));
        }).AddEntityFrameworkStores<ApplicationDbContext>();

        services.AddAuthentication(options =>
        {
            options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
            options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
        }).AddJwtBearer(config =>
            {
                config.RequireHttpsMetadata = false;
                config.SaveToken = true;
                config.TokenValidationParameters = new TokenValidationParameters()
                {
                    ValidIssuer = _config["Tokens:Issuer"],
                    ValidAudience = _config["Tokens:Audience"],
                    ValidateIssuerSigningKey = true,
                    IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config["Tokens:Key"])),
                    ValidateLifetime = true
                };
            });
        services.AddAuthorization(config =>
        {
            config.AddPolicy("Subscribers", p => p.RequireClaim("Subscriber", "True"));
            config.AddPolicy("Artists", p => p.RequireClaim("Artist", "True"));
            config.AddPolicy("Admins", p => p.RequireClaim("Admin", "True"));
        });

        services.Configure<DataProtectionTokenProviderOptions>(o =>
        {
            o.Name = "Default";
            o.TokenLifespan = TimeSpan.FromHours(1);
        });
        services.Configure<AuthMessageSenderOptions>(_config);

        // Add framework services.
        services.AddMvc(opt =>
        {
            //opt.Filters.Add(new RequireHttpsAttribute());
        }
        ).AddJsonOptions(opt =>
        {
            opt.SerializerSettings.ReferenceLoopHandling = ReferenceLoopHandling.Ignore;
        });
    }

    // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
    public void Configure(IApplicationBuilder app, IHostingEnvironment env, ILoggerFactory loggerFactory)
    {
        loggerFactory.AddConsole(_config.GetSection("Logging"));
        loggerFactory.AddDebug();

        app.Use(async (context, next) =>
        {
            // just to check the context.User.Claims on request
            var temp = context;
            await next();
        });
        app.UseAuthentication();
        app.UseMvc();
    }
}

这是颁发 token 的地方(在应用程序登录时)

AuthController.cs

private async Task<IList<Claim>> CreateUserClaims(ApplicationUser user)
    {
        var userClaims = await _userManager.GetClaimsAsync(user);
        var newClaims = new[]
        {
            new Claim(JwtRegisteredClaimNames.Sub, user.UserName),
            new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
            new Claim(JwtRegisteredClaimNames.NameId, user.Id)
        }.Union(userClaims).ToList();
        return newClaims;
    }
    private Object CreateToken(IList<Claim> claims)
    {
        var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config["Tokens:Key"]));
        var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
        var token = new JwtSecurityToken(
            issuer: _config["Tokens:Issuer"],
            audience: _config["Tokens:Audience"],
            claims: claims,
            expires: DateTime.UtcNow.AddDays(29),
            signingCredentials: creds
        );
        return new
        {
            token = new JwtSecurityTokenHandler().WriteToken(token),
            expiration = token.ValidTo
        };
    }
    private async Task<Object> CreateToken(ApplicationUser user)
    {
        var claims = await CreateUserClaims(user);
        var token = CreateToken(claims);
        return token;
    }
[HttpPost("token")]
    [AllowAnonymous]
    public async Task<IActionResult> CreateToken([FromBody] CredentialModel model)
    {
        var user = await _userManager.FindByNameAsync(model.UserName);
        if (user != null)
        {
            if (_hasher.VerifyHashedPassword(user, user.PasswordHash, model.Password)
                == PasswordVerificationResult.Success)
            {
                var token = await CreateToken(user);
                return Ok(token);
            }
        }
        throw new ApiException("Bad email or password.");
    }

我已通过 Chrome 调试器网络选项卡确认我请求中的 JWT 是我希望 API 获取的 JWT。

因此，我将在这篇文章中省略 Angular 请求代码。

这是一个通过 UserId 返回项目的 Controller

[HttpGet]
    public async Task<IActionResult> Get()
    {
        var artists = await _manageArtistService.GetAllByUser(this.User);
        if (artists == null) return NotFound($"Artists could not be found");
        return Ok(artists);
    }

这是 Controller 调用的服务

public async Task<IEnumerable<ManageArtistView>> GetAllByUser(ClaimsPrincipal user)
    {
        // gets all artists of a given user, sorted by artist
        var userId = _userService.GetUserId(user);
        var artists = await _manageArtistRepository.GetAllByUser(userId);
        return artists;
    }

在 UserService.cs 中，我尝试了几种不同的方法来访问当前用户。我检查从 Controller 传递的 this.User。

我还检查了 _context 中的当前上下文 - 您可以在 Startup.cs 中看到的单例。

还有 _caller 来自 Startup.cs

中的这一行

services.AddTransient<ClaimsPrincipal>(s => s.GetService<IHttpContextAccessor>().HttpContext.User);

当我检查这些变量中的任何一个时，Claims 对象不包含与在请求期间发送的 JWT 相同的声明。

我已通过检查 jwt.io 上的声明来验证声明不匹配.

具体来说，我举个场景:

我使用电子邮件 user@example.com 登录我的应用程序。然后在 AuthController.cs 的 CreateUserClaims() 函数中将该电子邮件设置为声明 (Sub) 作为 user.UserName:

var newClaims = new[]
        {
            new Claim(JwtRegisteredClaimNames.Sub, user.UserName),
            new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
            new Claim(JwtRegisteredClaimNames.NameId, user.Id)
        }.Union(userClaims).ToList();

然后设置一些其他属性，最终将 token 返回给客户端。客户端将其存储在 localStorage 中。

客户端然后发出请求，在 header 中包含 JWT，并将其添加到请求选项中，如下所示(Angular 服务):

private headers = new Headers(
    {
        'Content-Type': 'application/json',
        'Authorization': 'Bearer ' + this.authService.token
    });
private options = new RequestOptions({ headers: this.headers });

我检查了“网络”选项卡中的 header ，它包含 JWT - 我在 jwt.io 上检查了它它看起来不错 - 有正确的电子邮件和其他声明。

现在我可以注销应用程序，以不同的用户身份登录，获取新的 JWT，并向上面显示的同一 Controller 发出请求，JWT 将有以前的电子邮件，而不是我刚刚登录的新用户。

我确实进行了相同的检查，检查网络选项卡上 header 中的 JWT，以确保声明包含作为 sub 的新电子邮件以及其他声明。

所以这意味着我在新登录时获得了正确的 JWT，但不知何故 API 仍在寻找旧的 JWT。

这有多疯狂？

我注意到的另一件事是，即使是在第一次登录时(假设我刚刚使用 dotnet run 启动 API，然后我向上面显示的同一 Controller 发出第一个请求，它也会丢失nameid 声明。我可以去检查在 Header 请求中发送的 JWT，它确实有 nameid 声明。 所以，再说一遍，< strong>api 将发出正确的 JWT，但是当我在请求中通过 HTTP 发回它时，API 没有我在请求中发送的 JWT。

还有一件事为简单起见，我在控制台中记录了 JWT。我回去发现我今天早上 9 点开始使用的第一个。它的 jti 与当前在 .net 核心 API 中的相同。现在是下午 4 点 45 分。在这两次(上午 9 点和下午 4 点 45 分)之间，我的控制台中有 9 个不同的 JTW，都是从 API 发出的。但是 API 似乎保留了它今天早上创建的第一个 API - 即使在我多次停止和启动该项目之后也是如此。

请帮助我理解我做错了什么。我一定没有完全理解 JWT 的处理方式。

Answer 1

我已经解决了部分问题。

我说来自 UI 的 token 与 .net API 接收的 token 不同是错误的。我说过我正在检查“网络”选项卡中的 header ，确实如此，但不是正确的请求。我的 UI 正在发送多个请求——来自不同的 Angular 模块。我在每个模块中注入(inject)了一个新的身份验证服务(我的 token 存储在其中)。注销时，不会刷新任何模块，因此那些没有保留其旧 token 副本的模块。因此，在登录时，只有受影响的模块(在我的例子中是我的主要 app.module.ts)被刷新。那些没有被触及的人保留了他们相同的身份验证服务副本。

我从每个模块中删除了注入(inject)，让它们从主 app.module.ts 继承，这解决了 UI 和 API 似乎具有不同 token 的问题。

我提到的无法看到 nameid 声明的另一个问题已部分解决。我在 User 中总共有 10 个 Claims。当我解码 JWT 时，它说我有 sub 和 nameid。但是，当我检查 UserService.cs 中的 Claims 时，它们没有列为 nameid 和 sub，而是http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier 和 http://schemas.xmlsoap.org/ws/2005/05/identity/声明/名称标识符。每个都有正确的 Value。我不确定这是在哪里或如何发生的。我创建了以下自定义中间件代码以查看进入时 token 是什么，它具有 Claim 作为 sub 和 nameid。

app.Use(async (context, next) =>
        {
            var authHeader = context.Request.Headers["Authorization"].ToString();
            if (authHeader != null && authHeader.StartsWith("bearer", StringComparison.OrdinalIgnoreCase))
            {
                var tokenStr = authHeader.Substring("Bearer ".Length).Trim();
                System.Console.WriteLine(tokenStr);
                var handler = new JwtSecurityTokenHandler();
                var token = handler.ReadToken(tokenStr) as JwtSecurityToken;
                var nameid = token.Claims.First(claim => claim.Type == "nameid").Value;

                var identity = new ClaimsIdentity(token.Claims);
                context.User = new ClaimsPrincipal(identity);
            }
            await next();
        });

因此，变量nameid 是正确的并且包含期望值。某处 Type 正在从 nameid 和 sub 更改为 http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier