.NET 中 JWT 的應用解析，你學會了嗎？

作者：conan 2025-01-14 08:32:55

JWT 是一種開放標準（RFC 7519），用于在各方之間以緊湊、自包含的方式安全傳輸信息。它由三部分構成：頭部（Header）、載荷（Payload）、簽名（Signature）。

在現代 Web 開發領域，安全且高效的身份驗證與授權機制至關重要，JSON Web Token（JWT）成為了廣泛應用的解決方案，尤其在.NET 生態系統里，它與各類應用適配良好，助力開發者打造安全可靠的服務端與客戶端交互流程。

一、JWT 基礎概念

JWT 是一種開放標準（RFC 7519），用于在各方之間以緊湊、自包含的方式安全傳輸信息。它由三部分構成：頭部（Header）、載荷（Payload）、簽名（Signature）。頭部通常包含令牌類型（如 “JWT”）及加密算法信息，像 HS256 等；載荷承載用戶身份標識、權限范圍、有效期等關鍵聲明數據；簽名則是通過頭部與載荷結合秘密密鑰或公鑰私鑰對生成，用于驗證消息完整性及來源真實性，確保數據未被篡改。

二、.NET 中 JWT 操作庫

在.NET 里，有像 System.IdentityModel.Tokens.Jwt 這樣的內置工具，同時社區熱門庫如 JWT.NET 提供更便捷功能。以 JWT.NET 為例，通過 NuGet 引入后，可快速構建令牌。如創建令牌：

var tokenHandler = new JwtSecurityTokenHandler();
var key = Encoding.ASCII.GetBytes("your_secret_key"); 
var tokenDescriptor = new SecurityTokenDescriptor
{
    Subject = new ClaimsIdentity(new Claim[]
    {
        new Claim(ClaimTypes.Name, "user_name"),
        new Claim(ClaimTypes.Role, "admin") 
    }),
    Expires = DateTime.UtcNow.AddHours(1),
    SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.Hs256) 
};
var token = tokenHandler.CreateToken(tokenDescriptor);
var tokenString = tokenHandler.WriteToken(token);

此代碼段定義用戶主體、有效期、簽名憑證，生成含特定用戶信息的加密令牌字符串，用于后續客戶端請求攜帶認證。

三、集成到 ASP.NET 應用

在 ASP.NET Core 項目中，常在 Startup.cs 里配置認證服務。利用中間件，驗證傳入請求令牌：

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(options =>
    {
        options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
    })
   .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes("your_secret_key")),
            ValidateIssuer = false,
            ValidateAudience = false,
            ClockSkew = TimeSpan.Zero 
        };
    });
    services.AddControllers();
}

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    app.UseAuthentication();
    app.UseAuthorization();
    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
    });
}

這確保 API 受保護，僅合法攜帶有效令牌請求可訪問對應資源，保障應用安全邊界，讓基于.NET 的 Web 應用在分布式、多端交互場景穩健運行，適應如今復雜多變的業務需求。

責任編輯：武曉燕來源：程序員編程日記

JWT 令牌 .NET