使用 .net 核心在 API 端进行用户授权

Question

我正在 .net 核心中编写一个使用 API 和网站的网络应用程序。

网络服务构建一个 JWT 令牌。 这是服务配置（删除了不必要的部分）

public void ConfigureServices(IServiceCollection services)
{
    //...

    var tokenValidationParameters = new TokenValidationParameters
    {
        // The signing key must match!
        ValidateIssuerSigningKey = true,
        IssuerSigningKey = signingKey,

        // Validate the JWT Issuer (iss) claim
        ValidateIssuer = true,
        ValidIssuer = "ExampleIssuer",

        // Validate the JWT Audience (aud) claim
        ValidateAudience = true,
        ValidAudience = "ExampleAudience",

        // Validate the token expiry
        ValidateLifetime = true,

        // If you want to allow a certain amount of clock drift, set that here:
        ClockSkew = TimeSpan.Zero,
    };

    var serialiser = services.BuildServiceProvider().GetService<IDataSerializer<AuthenticationTicket>>();

    var dataProtector = services.BuildServiceProvider().GetDataProtector(new string[] {$"IronSphere.Web.Site-Auth"});

    services
        .AddAuthentication(o =>
        {
            o.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
            o.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
        })
        .AddJwtBearer(cfg =>
        {
            cfg.RequireHttpsMetadata = false;
            cfg.SaveToken = true;
            cfg.TokenValidationParameters = tokenValidationParameters;
        })
        .AddCookie(cookie =>
        {
            cookie.Cookie.Name = "access_token";
            cookie.TicketDataFormat = new JwtTokenValidator(
                SecurityAlgorithms.HmacSha256,
                tokenValidationParameters, serialiser, dataProtector);
        });

    //...
}

到目前为止，一切都很好。登录有效，我的网站端授权有效，我可以使用[Authorize] 属性。

现在的问题是，我在网站上登录了，但不是在 API 上。

我不能将[Authorize]-attribute 用于我的 API 方法（当然，这是有道理的）。

所以当我登录时，每次调用 API 时，我也会在标头中发送令牌（这可行，我可以在 API 控制器中读取它）。我想我需要反序列化它。

我尝试使用依赖注入将 IDataSerializer<AuthenticationTicket> 输入到我的控制器中：

services.AddSingleton<IDataSerializer<AuthenticationTicket>>(services.BuildServiceProvider().GetService<IDataSerializer<AuthenticationTicket>>());

然后从标题中获取密钥，反序列化，然后我将拥有带有声明的用户对象。但是当我尝试注入任何控制器时，它会使我的应用程序崩溃（只是一条消息，dotnet 停止工作）

知道如何在调用 api 时验证用户吗？ （如果您需要我可以发布更多代码，只是不想在这里填写太多代码）

Answer 1

所以在@Tseng 的意见帮助了我很多之后，这是我的结果（更多关于如何做得更好的意见会很好）：

1. 在 Startup.cs 中添加了令牌的取消保护器作为服务

   services.AddTransient<IJwtTokenService, JwtTokenService>();
   

2. IJwtTokenService

   public interface IJwtTokenService
   {
       string UnprotectToken(string protectedText);
   }
   

3. 已实现的JwtTokenService：

   public class JwtTokenService:IJwtTokenService
   {
       private readonly IDataSerializer<AuthenticationTicket> _ticketSerializer;
       private readonly IDataProtector _dataProtector;
   
       public JwtTokenService(IDataSerializer<AuthenticationTicket> serializer, IDataProtector protector)
       {
           _ticketSerializer = serializer;
           _dataProtector = protector;
       }
   
       public string UnprotectToken(string protectedText)
       {
           SecurityKey signingKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes(" ......... "));
   
           TokenValidationParameters tokenValidationParameters =
               _getTokenValidationParameters();
   
           JwtSecurityTokenHandler handler = new JwtSecurityTokenHandler();
           AuthenticationTicket authTicket;
           string embeddedJwt;
   
           try
           {
               // logic to deserialize token
               // logic to validate token
               // more logic... (algorithm,..)
           }
           catch (Exception)
           {
               return null;
           }
   
           return embeddedJwt;
       }
   }
   

4. 所以在服务中我还必须添加IDataProtector。之前抛出异常。

   services.AddTransient(x => x.GetDataProtector(new[] {$"auth"}));
   

5. 然后我可以将IJwtTokenService添加到依赖注入的构造函数中，取消保护并与标头一起发送：

   protected ServiceBase(
       IHttpContextAccessor contextAccessor, 
       IJwtTokenService jwtTokenService, 
       IMemoryCache memoryCache = null)
   {
       MemoryCache = memoryCache ?? new MemoryCache(new MemoryCacheOptions());
       CachingFunctionalty = new CachingFunctionality();
       HttpContextAccessor = contextAccessor;
       JwtTokenService = jwtTokenService;
   }
   
   protected RestClient CreateClient()
   {
       RestClient restClient = new RestClient(ServiceAdress);
   
       var token = HttpContextAccessor.HttpContext.Request.Cookies["access_token"];
   
       if (string.IsNullOrWhiteSpace(token)) return restClient;
   
       var unprotected = JwtTokenService.UnprotectToken(token);
       restClient.AuthenticationHeaderValue = new AuthenticationHeaderValue("Bearer", unprotected);
   
       return restClient;
   }
   

现在我的 API 可以与 AuthorizeAttribute 一起使用