本文详细介绍了使用 .NET Core 和 JwtBearer 实现身份验证和授权的全过程，分为六个易于遵循的步骤。适合需要集成 JWT 的开发者参考学习。
在.NET Core 2022中使用JWT（JSON Web Tokens）Bearer令牌已成为实现安全认证与授权的常见方式。JWT Bearer提供了一种轻量级的身份验证机制，允许服务之间安全地传递信息。以下是六个步骤指导你在.NET Core 2022应用程序中设置JWT Bearer鉴权和授权。
### 第一步：安装JWTBearer NuGet包
你需要通过NuGet包管理器或paket工具安装`Microsoft.AspNetCore.Authentication.JwtBearer`包来引入必要的依赖项，使你的应用能够处理JWT令牌。
### 第二步：配置服务
在`Startup.cs`文件的`ConfigureServices`方法中添加JWT Bearer服务。需要提供一个密钥用于签名和验证JWT，并设置一些其他配置选项如过期时间等。
```csharp
public void ConfigureServices(IServiceCollection services)
{
添加其他服务...
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJwtBearer(options =>
{
options.TokenValidationParameters = new TokenValidationParameters
{
ValidateIssuer = true,
ValidateAudience = true,
ValidateLifetime = true,
ValidateIssuerSigningKey = true,
IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Your_Secret_Key_Here)),
ValidIssuer = Your_Issuer_Name,
ValidAudience = Your_Audience_Name,
};
});
添加其他服务...
}
```
### 第三步：启用中间件
在`Startup.cs`的`Configure`方法中，调用`UseAuthentication()`和`UseAuthorization()`, 将身份验证与授权集成到HTTP请求管道。
```csharp
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
其他中间件...
app.UseAuthentication();
app.UseAuthorization();
其他中间件...
}
```
### 第四步：创建JWT
在后端，你需要实现一个API接口，在用户成功登录时生成JWT。这通常包括验证用户名和密码，并根据这些信息生成包含用户权限的JWT。
```csharp
[HttpPost(login)]
public IActionResult Login([FromBody] LoginModel model)
{
验证用户凭证...
var claims = new[] {
new Claim(ClaimTypes.Name, model.Username),
其他声明，如角色或自定义权限
};
var tokenDescriptor = new SecurityTokenDescriptor
{
Subject = new ClaimsIdentity(claims),
Expires = DateTime.UtcNow.AddHours(1), 设置过期时间
SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Your_Secret_Key_Here)), SecurityAlgorithms.HmacSha256Signature)
};
var tokenHandler = new JwtSecurityTokenHandler();
var token = tokenHandler.CreateToken(tokenDescriptor);
var jwt = tokenHandler.WriteToken(token);
return Ok(new {token});
}
```
### 第五步：保护API端点
为了确保只有经过身份验证的用户才能访问特定资源，使用`[Authorize]`特性标记控制器或具体动作。
```csharp
[Authorize]
[ApiController]
public class ProtectedController : ControllerBase
{
只有持有效JWT的用户才能访问这些方法
}
```
### 第六步：客户端使用JWT
在客户端（如JavaScript前端应用），当成功登录并获取到JWT后，需要在每次请求受保护API时附带这个令牌。这通常通过设置`Authorization` HTTP头部完成。
```javascript
axios.get(protected-api, {
headers: {
Authorization: Bearer + localStorage.getItem(jwtToken)
}
})
.then(response => {
处理响应...
})
.catch(error => {
处理错误...
});
```
以上是使用JWTBearer在.NET Core 2022中实现鉴权授权的六个主要步骤。通过这些步骤，你可以为你的应用程序创建一个安全的身份验证和授权系统，确保只有合法用户可以访问敏感资源。实际项目中可能还需要考虑如错误处理、刷新令牌等更多的安全性问题以进一步增强系统的安全性。
5星
