如何在 .NET Core 中为 JWT 令牌设计自定义验证器？

Question

我正在使用如下身份验证。

TokenValidationParameters parameters = new TokenValidationParameters
  {
    ValidateIssuerSigningKey = false,
    ValidateLifetime = true,
    ValidateActor = false,
    ValidateAudience = false,
    ValidateIssuer = false,
    ValidateTokenReplay = false,
    IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(...)),
    ClockSkew = TimeSpan.Zero
  };
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
  .AddJwtBearer(options =>
  {
    options.TokenValidationParameters = parameters;
    options.SecurityTokenValidators.Add(new SecurityTokenValidator());
  });

我已经实现了 ISecurityTokenValidator (Microsoft.IdentityModel.Tokens) 并像这样覆盖了 ValidateToken 方法。

public ClaimsPrincipal ValidateToken(string securityToken,
                                     TokenValidationParameters parameters,
                                     out SecurityToken token)
{
  IIdentity identity = new ClaimsIdentity(new[] { new Claim("name", "donkey") });
  ClaimsPrincipal principal = new ClaimsPrincipal(identity);

  token = new JwtSecurityToken();

  return principal;
}

代码之前授权正确，但现在，我指定了一个自定义验证器，我只得到 401 Unauthorized。很明显，我在这里做错了什么，主要嫌疑人是 token，即sparsely documented。

调试的时候，可以看到传入的token的内容，但是由于参数是out，所以不得不赋值，编译器拒绝配合。

1. 验证失败是因为过期的令牌是虚拟的吗？
2. 返回 bool 导致 401 出现的方法在哪里？
3. 返回一组声明和经过验证的令牌有什么意义？

我一直在谷歌搜索，但未能找到这方面的具体信息。这一切都淹没在大量博客相互复制示例的噪音中（我可能不知道正确的搜索条件）。

有一些示例，例如 this 和 this，但由于复杂性，我不确定它是否适合遵循。其他人似乎只是在重用 JwtSecurityTokenHandler 的一个实例，这似乎不是我想要的自定义验证器。

Answer 1

您实际上是在谈论 2 个不同的部分，身份验证（证明您是谁）和授权（您可以做什么）。

为了认证，

401 可能是由于未设置 ValidFrom 和 ValidTo 属性引起的。它们在构造函数中设置。您还可以将 TokenValidationParameters 上的 ValidateLifetime 属性设置为 false 以绕过它。

以下是使用构造函数的示例： https://github.com/aspnet/AspNetCore/blob/c76cb9248de8966b25bc08b098b88d6734b96d09/src/Mvc/test/WebSites/SecurityWebSite/BearerAuth.cs#L38

我相信401 重定向是在AuthenticationHandler 的HandleChallengeAsync 方法中完成的 这是那个方法： https://github.com/aspnet/AspNetCore/blob/c76cb9248de8966b25bc08b098b88d6734b96d09/src/Security/Authentication/JwtBearer/src/JwtBearerHandler.cs#L195

这是身份验证/授权的灰色区域。我心目中的 401 将是身份验证，而 403 将是授权。关于是否返回401挑战响应和403禁止响应的决定我很确定是在PolicyEvaluator中的AuthorizeAsync方法中完成的。

https://github.com/aspnet/AspNetCore/blob/6526022f6c72eb98e9afb7dd77672c4340f00312/src/Security/Authorization/Policy/src/PolicyEvaluator.cs#L77

希望对你有帮助。

声明集由策略评估者用于授权。

https://docs.microsoft.com/en-us/aspnet/core/security/authorization/policies?view=aspnetcore-2.2