c# - 使用多个 JWT 承载身份验证

Question

ASP.NET Core 2 中是否可以支持多个 JWT token 颁发者？我想为外部服务提供 API，并且需要使用 JWT token 的两个来源 - Firebase 和自定义 JWT token 颁发者。在 ASP.NET core 中，我可以为 Bearer auth 方案设置 JWT 身份验证，但只能针对一个 Authority:

  services
        .AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddJwtBearer(options =>
        {
            options.Authority = "https://securetoken.google.com/my-firebase-project"
            options.TokenValidationParameters = new TokenValidationParameters
                {
                    ValidateIssuer = true,
                    ValidIssuer = "my-firebase-project"
                    ValidateAudience = true,
                    ValidAudience = "my-firebase-project"
                    ValidateLifetime = true
                };
        }

我可以有多个发行者和受众，但无法设置多个权限。

Answer 1

你完全可以实现你想要的:

services
    .AddAuthentication()
    .AddJwtBearer("Firebase", options =>
    {
        options.Authority = "https://securetoken.google.com/my-firebase-project";
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuer = "my-firebase-project",
            ValidateAudience = true,
            ValidAudience = "my-firebase-project",
            ValidateLifetime = true
        };
    })
    .AddJwtBearer("Custom", options =>
    {
        // Configuration for your custom
        // JWT tokens here
    });

services
    .AddAuthorization(options =>
    {
        options.DefaultPolicy = new AuthorizationPolicyBuilder()
            .RequireAuthenticatedUser()
            .AddAuthenticationSchemes("Firebase", "Custom")
            .Build();
    });

让我们看看您的代码与该代码之间的差异。

AddAuthentication 没有参数

如果您设置默认身份验证方案，则对于每个请求，身份验证中间件将尝试运行与默认身份验证方案关联的身份验证处理程序。由于我们现在有两种可能的身份验证方案，因此运行其中一种是没有意义的。

使用 AddJwtBearer 的另一个重载

用于添加身份验证的每个 AddXXX 方法都有多个重载:

• 其中使用与身份验证方法关联的默认身份验证方案，您可以 see here for cookies authentication
• 除了选项配置之外，还传递身份验证方案的名称，如 on this overload

现在，由于您使用相同的身份验证方法两次，但身份验证方案必须是唯一的，因此您需要使用第二次重载。

更新默认政策

由于请求将不再自动进行身份验证，因此在某些操作上添加 [Authorize] 属性将导致请求被拒绝，并发出 HTTP 401 .

由于这不是我们想要的，因为我们希望为身份验证处理程序提供对请求进行身份验证的机会，因此我们通过指示 Firebase 和 Custom 来更改授权系统的默认策略 应尝试身份验证方案来验证请求。

这并不妨碍您对某些行为施加更多限制； [Authorize] 属性具有 AuthenticationSchemes属性允许您覆盖哪些身份验证方案有效。

如果您有更复杂的场景，可以使用policy-based authorization 。我发现官方文档很棒。

假设某些操作仅适用于 Firebase 发行的 JWT token ，并且必须具有具有特定值的声明；你可以这样做:

// Authentication code omitted for brevity

services
    .AddAuthorization(options =>
    {
        options.DefaultPolicy = new AuthorizationPolicyBuilder()
            .RequireAuthenticatedUser()
            .AddAuthenticationSchemes("Firebase", "Custom")
            .Build();

        options.AddPolicy("FirebaseAdministrators", new AuthorizationPolicyBuilder()
            .RequireAuthenticatedUser()
            .AddAuthenticationSchemes("Firebase")
            .RequireClaim("role", "admin")
            .Build());
    });

然后，您可以对某些操作使用[Authorize(Policy = "FirebaseAdministrators")]。

最后要注意的一点:如果您捕获 AuthenticationFailed 事件并使用除第一个 AddJwtBearer 策略之外的任何内容，您可能会看到 IDX10501:签名验证失败。无法匹配 key ...这是由于系统依次检查每个AddJwtBearer直到获得匹配而导致的。该错误通常可以忽略。

更新 - .net core 6

对于较新版本的.net core，您需要指定默认授权，因此 .AddAuthentication() 不起作用。

一个例子

// Authentication
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddJwtBearer(options =>
        {
            options.Audience = "https://localhost:5000/";
            options.Authority = "https://localhost:5000/identity/";
        })
        .AddJwtBearer("AzureAD", options =>
        {
            options.Audience = "https://localhost:5000/";
            options.Authority = "https://login.microsoftonline.com/eb971100-7f436/";
        });

// Authorization
builder.Services.AddAuthorization(options =>
{
    var defaultAuthorizationPolicyBuilder = new AuthorizationPolicyBuilder(
        JwtBearerDefaults.AuthenticationScheme,
        "AzureAD");
    defaultAuthorizationPolicyBuilder =
        defaultAuthorizationPolicyBuilder.RequireAuthenticatedUser();
    options.DefaultPolicy = defaultAuthorizationPolicyBuilder.Build();
});

参见https://learn.microsoft.com/en-us/aspnet/core/security/authorization/limitingidentitybyscheme?view=aspnetcore-6.0#use-multiple-authentication-schemes了解更多