JwtBearer asp net core 从 api 获取签名密钥

Question

是否可以从 asp.net-core 配置 JwtBearer，它可以获取验证用户是否被授权所需的签名密钥（在我的情况下为公钥）？

我有这样的事情：

        services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
            .AddJwtBearer(o =>
            {
                o.BackchannelHttpHandler = new HttpClientHandler();
                o.MetadataAddress = "http://auth-server.local.com/api";
                o.Authority = "http://localhost:5000";
                o.Audience = "http://localhost:5001";
                o.RequireHttpsMetadata = false;
                o.TokenValidationParameters = new TokenValidationParameters
                {   
                    IssuerSigningKey = "here should be public key exposed by my auth api server"
                    ValidIssuer = "http://localhost:5000",
                    ValidAudience = "http://loclhost:5001"
                };
            })
            ;

但我的客户没有调用我的身份验证 api 来获取公钥。

Answer 1

您那里的代码只是告诉您的应用程序您要使用 JWT 令牌进行身份验证以及使用哪些参数来验证传入请求（带有令牌）。

您现在需要设置和终结点以发布这些令牌.. 或您所说的“公钥”。

您的代码（注意发行者中的“mysecret”）

  services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
            .AddJwtBearer(o =>
            {
                o.BackchannelHttpHandler = new HttpClientHandler();
                o.MetadataAddress = "http://auth-server.local.com/api";
                o.Authority = "http://localhost:5000";
                o.Audience = "http://localhost:5001";
                o.RequireHttpsMetadata = false;
                o.TokenValidationParameters = new TokenValidationParameters
                {   
                    IssuerSigningKey = "MySecret"
                    ValidIssuer = "http://localhost:5000",
                    ValidAudience = "http://loclhost:5001"
                };
            })
            ;

现在在控制器中：

public class AccountController : Controller
    {
 [HttpGet]
        public IActionResult getKey()
        {
                    var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("MySecret"));
                    var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

                    var token = new JwtSecurityToken(
                        issuer: "http://localhost:5000",
                        audience: "http://localhost:5001",
                        expires: DateTime.Now.AddYears(10),
                        signingCredentials: creds);

return Json(token);
}
}

请注意在服务中如何......您将私钥设置为“MySecret” - 这告诉应用程序用于请求的任何令牌......必须使用此值进行签名。否则它会拒绝它。

在控制器中.. 我们创建一个具有相同“MySecret”的密钥并在主机/帐户/getkey 中发出它

现在 - 只需将 [Authorize] 标签添加到您想要保护的任何功能或控制器。

   [Authorize]
     [HttpPost]
            public IActionResult Test()
            {
    }

编辑：看来您想要某种永久令牌。只需将新 JWTtoken() 行中的 expires 字段设置为 1000 年或其他任何时间后过期，然后将其公开广播给您想要的任何人。 Albiet - 这是一个不安全的授权模型。