ASP.NET Core 實戰：基于 Jwt Token 的權限控制全揭露
引言
在現代Web應用開發中，權限控制是確保應用安全性和用戶體驗的重要一環。ASP.NET Core是一個強大的Web框架，它支持多種認證和授權機制。其中，基于JSON Web Tokens（JWT）的權限控制是一種流行的解決方案。JWT提供了一種安全、可驗證的方式來傳遞用戶信息，從而實現無狀態的認證和授權。本文將詳細探討如何在ASP.NET Core中實施基于JWT Token的權限控制，并提供代碼示例來指導讀者實現。
JWT基本原理
JWT是一個開放標準（RFC 7519），它定義了一種緊湊的、自包含的方式，用于作為JSON對象在各方之間安全地傳輸信息。這些信息可以被驗證和信任，因為它們是數字簽名的。JWT通常用于在用戶和服務器之間安全地傳輸信息。一個JWT通常包含三個部分：Header（頭部）、Payload（負載）和Signature（簽名）。
安裝依賴包
首先，確保安裝了以下NuGet包：
dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer這將添加JWT身份驗證所需的依賴。
配置JWT身份驗證
在Startup.cs或Program.cs中配置JWT身份驗證。你需要在appsettings.json文件中添加JWT配置，例如密鑰、發行者和受眾：
{
"JwtSettings": {
"Secret": "YourSecretKey", // 用于加密的密鑰（應非常復雜）
"Issuer": "YourAppName", // 發行者
"Audience": "YourAppUsers", // 受眾
"ExpireMinutes": 120 // 令牌有效期
}
}然后，在服務中配置JWT認證：
var builder = WebApplication.CreateBuilder(args);
// 從配置文件中獲取JWT設置
var jwtSettings = builder.Configuration.GetSection("JwtSettings");
// 配置JWT身份驗證
builder.Services.AddAuthentication(options =>
{
options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(options =>
{
options.TokenValidationParameters = new TokenValidationParameters
{
ValidateIssuer = true,
ValidateAudience = true,
ValidateLifetime = true,
ValidateIssuerSigningKey = true,
ValidIssuer = jwtSettings["Issuer"],
ValidAudience = jwtSettings["Audience"],
IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(jwtSettings["Secret"])),
ClockSkew = TimeSpan.Zero // 默認的5分鐘偏移時間
};
});
var app = builder.Build();
// 啟用認證中間件
app.UseAuthentication();
app.UseAuthorization();這將配置JWT認證方案，并啟用認證和授權中間件。
生成JWT Token
創建一個控制器或服務，用于生成JWT令牌。例如，編寫一個登錄API來生成JWT令牌：
using Microsoft.AspNetCore.Mvc;
using Microsoft.IdentityModel.Tokens;
using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;
using System.Text;
[ApiController]
[Route("api/[controller]")]
public class AuthController : ControllerBase
{
private readonly IConfiguration _configuration;
public AuthController(IConfiguration configuration)
{
_configuration = configuration;
}
[HttpPost("login")]
public IActionResult Login([FromBody] LoginRequest loginRequest)
{
// 假設你已經驗證了用戶名和密碼
if (loginRequest.Username == "admin" && loginRequest.Password == "password")
{
var token = GenerateJwtToken(loginRequest.Username);
return Ok(new { token });
}
return Unauthorized();
}
private string GenerateJwtToken(string username)
{
var jwtSettings = _configuration.GetSection("JwtSettings");
var claims = new[]
{
new Claim(JwtRegisteredClaimNames.Sub, username),
new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
};
var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(jwtSettings["Secret"]));
var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
var tokenDescriptor = new SecurityTokenDescriptor
{
Subject = new ClaimsIdentity(claims),
Issuer = jwtSettings["Issuer"],
Audience = jwtSettings["Audience"],
Expires = DateTime.UtcNow.AddMinutes(Convert.ToDouble(jwtSettings["ExpireMinutes"])),
SigningCredentials = creds
};
var tokenHandler = new JwtSecurityTokenHandler();
var securityToken = tokenHandler.CreateToken(tokenDescriptor);
return tokenHandler.WriteToken(securityToken);
}
}這段代碼展示了如何生成JWT Token，并將其返回給客戶端。
驗證JWT Token
ASP.NET Core應用會自動驗證客戶端發送的JWT Token。確保在需要驗證Token的控制器或操作上使用[Authorize]屬性。
基于策略的授權
你可以在Startup.cs的ConfigureServices方法中定義基于角色的策略或更復雜的策略，然后在控制器或操作上使用這些策略：
services.AddAuthorization(options =>
{
options.AddPolicy("RequireAdminRole", policy => policy.RequireRole("Admin"));
});然后，在控制器中使用這個策略：
[Authorize(Policy = "RequireAdminRole")]
public IActionResult AdminOnly()
{
return Ok("Only Admins can see this.");
}結語
通過結合ASP.NET Core和JWT，我們可以構建出一個安全、高效的權限控制框架。這種架構模式使得權限控制更加靈活和可擴展，同時也便于維護和擴展。希望本文能夠幫助讀者了解如何整合兩者，打造出一個優秀的Web應用。
