.NET JWT库Microsoft.IdentityModel.Tokens示例

程序笔记 2024年09月28日09:35 阅读(221)

JWT 是 JSON Web Token 的缩写，是一种基于 JSON 的开放标准，用于在网络应用环境间传递声明而执行的一种基于 JSON 的开放标准。JWT 的声明一般被用来在身份提供者和服务提供者间传递被认证的用户身份信息，以便于从资源服务器获取资源，也可以增加一些额外的其它业务逻辑所必须的声明信息，该 token 也可直接被用于认证，也可被加密。

JWT 的用法

认证：JWT 可以用于用户认证，在用户登录成功后，服务器会生成一个 JWT 并返回给用户。用户在后续的请求中携带 JWT，服务器可以根据 JWT 来验证用户身份。

授权：JWT 也可以用于用户授权，在用户获得某些权限后，服务器会生成一个 JWT 并返回给用户。用户在后续的请求中携带 JWT，服务器可以根据 JWT 来判断用户是否有权限访问某些资源。

传递信息：JWT 可以用于传递一些额外的信息，例如用户的姓名、邮箱地址等。

JWT 的使用步骤

生成 JWT：服务器使用 JWT 的生成算法来生成一个 JWT。JWT 由三个部分组成：

头部（Header）：包含 JWT 的类型和加密算法。

负载（Payload）：包含 JWT 的声明信息。

签名（Signature）：用于验证 JWT 的有效性。

将 JWT 返回给用户：服务器将生成的 JWT 返回给用户。

用户携带 JWT 进行请求：用户在后续的请求中携带 JWT。

服务器验证 JWT：服务器使用 JWT 的验证算法来验证 JWT 的有效性。

JWT 的优点

轻量级：JWT 的格式很小，可以方便地在 HTTP 请求头中传输。

安全性：JWT 可以使用 HMAC 算法或 RSA 算法进行签名，以确保 JWT 的安全性。

可扩展性：JWT 的负载可以包含任意的数据，可以满足不同应用场景的需求。

JWT 的缺点

安全性：JWT 的安全性依赖于签名的算法和密钥的安全性。如果密钥被泄露，则 JWT 将失去安全性。

可靠性：JWT 的有效期是有限的，如果 JWT 过期，则服务器将无法验证 JWT 的有效性。

JWT 的使用场景

Web 应用程序：JWT 可以用于 Web 应用程序的用户认证和授权。移动应用程序：JWT 可以用于移动应用程序的用户认证和授权。 API 服务：JWT 可以用于 API 服务的用户认证和授权。

JWT 是一种灵活而强大的认证和授权机制，可以应用在各种场景中。

.NET JWT库

.NET 提供了用于生成和验证 JWT 的库，包括：

Microsoft.IdentityModel.Tokens：Microsoft 官方提供的 JWT 库。 Newtonsoft.Json.Jwt：Newtonsoft.Json 库中的 JWT 扩展。 Dapper.Jwt：Dapper 库中的 JWT 扩展。

Microsoft.IdentityModel.Tokens 用法

Microsoft.IdentityModel.Tokens 库用于生成和验证 JWT。它提供了完整的 JWT 生成和验证功能，包括：

支持 HMACSHA256、RS256、RS384 和 RS512 等算法。支持自定义声明。支持过期时间。

生成 JWT

要生成 JWT，可以使用 JwtSecurityToken 类。JwtSecurityToken 类有两个构造函数：

JwtSecurityToken(claimsIdentity, header, signature)：使用现有的声明身份、头部和签名来创建 JWT。

JwtSecurityToken(claimsIdentity, header, key)：使用现有的声明身份、头部和密钥来创建 JWT。

验证 JWT

要验证 JWT，可以使用 JwtSecurityTokenHandler 类。JwtSecurityTokenHandler 类提供了 ValidateToken() 方法来验证 JWT。

示例

以下是一个使用 Microsoft.IdentityModel.Tokens 库生成和验证 JWT 的示例：

生成 JWT

using Microsoft.IdentityModel.Tokens;

public class JwtGenerator
{
    private readonly string _issuer = "your_issuer";
    private readonly string _audience = "your_audience";
    private readonly string _secretKey = "your_secret_key";

    public string GenerateJwt(string subject, int expiresInSeconds)
    {
        // 创建一个 JWT 声明
        JwtClaimsIdentity claimsIdentity = new JwtClaimsIdentity(
            new Claim[]
            {
                new Claim("sub", subject),
                new Claim("exp", expiresInSeconds),
            }
        );

        // 使用 HMACSHA256 算法生成签名
        SymmetricSecurityKey key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_secretKey));
        JwtSecurityToken token = new JwtSecurityToken(
            claimsIdentity,
            new JwtHeader(AlgorithmIdentifiers.HmacSha256),
            new JwtSignature(key),
            _issuer,
            _audience,
            null,
            TimeSpan.FromSeconds(expiresInSeconds)
        );

        // 将 JWT 编码为字符串
        return token.Encode();
    }
}

验证 JWT

using Microsoft.IdentityModel.Tokens;

public class JwtValidator
{
    private readonly string _issuer = "your_issuer";
    private readonly string _audience = "your_audience";
    private readonly string _secretKey = "your_secret_key";

    public bool ValidateJwt(string token)
    {
        // 解析 JWT
        JwtSecurityToken tokenObject = JwtSecurityTokenHandler.ValidateToken(
            token,
            new TokenValidationParameters(
                issuer: _issuer,
                audience: _audience,
                validateIssuer: true,
                validateAudience: true,
                validateLifetime: true,
            ),
            out SecurityTokenResolver tokenResolver
        );

        // 验证 JWT 的有效性
        return tokenObject != null;
    }
}

使用示例

// 生成 JWT
var jwtGenerator = new JwtGenerator("your_issuer", "your_audience", "your_secret_key");
var jwt = jwtGenerator.GenerateJwt("user1", 300);

// 验证 JWT
var jwtValidator = new JwtValidator("your_issuer", "your_audience", "your_secret_key");
var isValid = jwtValidator.ValidateJwt(jwt);

if (isValid)
{
    // JWT 有效
}
else
{
    // JWT 无效
}

在上述示例中，我们使用 JwtGenerator 类生成 JWT，并使用 JwtValidator 类验证 JWT。