如何验证请求标头、JWT 令牌

Question

我有 Angular 7 前端项目和 asp.net 核心 Web API。

从 Web API 创建 JWT Web 令牌后，我返回到fronted，它将保存在本地存储中。
在我想向 Web API 发送请求后，我会将 JWT Web 令牌放入请求标头部分。

这样就可以了。所以我想使用 JWT 有效负载数据对请求进行身份验证。我的 JWT 有效负载数据有记录用户名、用户角色的一些信息。

我想在通过 http get 请求获取产品详细信息时检查它的有效令牌。你能帮我在 asp.net core web api 中进行身份验证吗？

asp.net 核心 web api，Angular 7 cli

Startup.cs - WEB API

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJwtBearer(options =>
 {
  options.TokenValidationParameters = new TokenValidationParameters
  {
  ValidateIssuer = true,
  ValidateAudience = true,
  ValidateLifetime = true,
  ValidateIssuerSigningKey = true,
  ValidIssuer = Configuration["Jwt:Issuer"],
  ValidAudience = Configuration["Jwt:Issuer"],
  IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:Key"]))
 };
});

services.AddMvc();

构建 Web 令牌 - WEB API

private string BuildToken(MYWebApi.Models.CustomerModel user)
{
  var claims = new[] {
  new Claim(JwtRegisteredClaimNames.NameId,user.CusId.ToString()),
  new Claim(JwtRegisteredClaimNames.Sub,user.CusName),
  new Claim(JwtRegisteredClaimNames.Email,user.CusEmail),
  new Claim("role","user"),
};

 var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config["Jwt:Key"]));
 var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

 var token = new JwtSecurityToken(_config["Jwt:Issuer"],
  _config["Jwt:Issuer"],
 claims,
 expires: DateTime.Now.AddMinutes(30),
 signingCredentials: creds);

 return new JwtSecurityTokenHandler().WriteToken(token);
}

将令牌放入标题部分 - FRONT END

 @Injectable( )
    export class TokenInterceptorService implements HttpInterceptor{

      constructor(private injector:Injector) { }

      intercept(req, next){
        let serverService = this.injector.get(ServerService)
        let tokenizedReq = req.clone({
            setHeaders:{
              Autherization:`Bearer ${serverService.getToken()}`
            }
         })
        return next.handle(tokenizedReq)
      }
    }

控制器 - WEB API

[Route("GetProduct")]
        [HttpGet]
        public List<ProductModel> GetProduct(int productId)
        {
            var repo = new MEData.Repository.ProductRepo();

            var productData = repo.GetProduct(productId);

            return productData;
        }

Answer 1

除了app.UseAuthentication() 呼叫之外，请尝试以下选项：

1. 将[Authorize] 属性与AuthenticationSchemes 一起应用

[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
[Route("GetProduct")]
[HttpGet]
public List<ProductModel> GetProduct(int productId)
{
   //...
}

另外，请尝试在ConfigureServices中添加以下行

services.AddAuthorization();

2. 尝试将services.AddAuthorization 与策略和选定方案一起使用

services.AddAuthorization(options =>
{
    options.AddPolicy("Jwt", policy =>
    {
        policy.AuthenticationSchemes.Add(JwtBearerDefaults.AuthenticationScheme);
        policy.RequireAuthenticatedUser();
    });
});

然后使用[Authorize]属性的策略

[Authorize(Policy = "Jwt")]
[Route("GetProduct")]
[HttpGet]
public List<ProductModel> GetProduct(int productId)
{
   //...
}

一般来说，我认为services.AddAuthorization 行是必需的。看看哪些选项适合您。

Answer 2

确保在 Startup 类的 Configure 方法中 app.UseMvc(); 之前添加了 app.UseAuthentication(); 代码

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
        {

            app.UseAuthentication();

            app.UseMvc();
        }

然后根据您的要求在操作或控制器级别添加[Authorize]attribute