可以在 BEARER Authorization Header 中嵌入用户名吗？

Question

我有一个使用 Web API 创建的 API 端点来创建安全令牌。因此用户在基本授权标头中传递用户名：密码。验证用户名/密码并返回 Json Web Token。

现在我的所有其他执行 GET 或 POST 的端点都将在 Authorization 标头中作为 BEARER 类型传入 JWT。我通常知道这是 BEARER + (jwt) 但它是否可以通过 BEARER + 用户名：(jwt)

我想传递用户名：(jwt) 的原因是，当我验证 jwt 时，我还想从 jwt 声明中提取用户名，并将其与 auth 标头中传递的用户名进行比较，作为额外检查。

这种方法听起来不错，还是我应该完全忘记检查用户名，因为它不会增加任何额外的安全性？

Answer 1

没有什么可以阻止您在令牌之外添加用户名，但是 您可以根据需要向令牌添加任意数量的声明，并且可以包含用户名。可以通过 IHttpContextAccessor 从您的客户端应用程序或 Web API 检索这些声明。

在您的客户端/API 中，您可以执行以下操作来检索声明：

List<Claim> claims = _context.Request.HttpContext.User.Claims.ToList(); 

其中 _context 的类型为 IHttpContextAccessor。

这将获取编码令牌的 Subject 属性，这是一个 ClaimsIdentity，由创建令牌时添加的声明列表组成。

您可以在令牌之外添加用户名，但是在客户端/API 验证了不记名令牌后，您需要的所有内容都可以更安全地存储并从令牌本身中检索。

此外，您可以在访问客户端/API 中的其他类时使用声明添加额外授权。

所有其他声明类型（如 sub、iat 等）在您的客户端/API 端经过身份验证后都是令牌中的属性。在创建令牌期间您需要做的是使用 SecurityTokenDescriptor 来创建令牌描述符，如下所示（缩写）：

SecurityTokenDescriptor descriptor = new SecurityTokenDescriptor
{
    Subject = new ClaimsIdentity(new[] {
        new Claim(ClaimTypes.Name, username),
        new Claim(JwtRegisteredClaimNames.Sub, username)}),
    Expires = DateTime.Now.AddMinutes(expiration_in_minutes),
    SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key),
      SecurityAlgorithms.HmacSha256Signature)
};

您需要确保命名空间在您的源代码中：

using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;

当我运行它来生成令牌，然后在 get 中解码 https://jwt.io/ 中的令牌时：

{
  "unique_name": "usernam@xxxx.xxx",
  "sub": "usernam@xxxx.xxx",
  "nbf": 1622285741,
  "exp": 1622287503,
  "iat": 1622285741
}

使用 JwtRegisteredClaimNames.Sub 添加声明会在令牌中公开 sub。

试试看它是否有效。

Answer 2

您可以在 sub 声明中发送用户名/用户 ID。

令牌内的声明已签名。 username/userid(sub) 已签名，无需验证 username/userid 是否 ok/valid。

在您的情况下，BEARER 用户名：令牌

用户名（未签名，可更改，无法验证）：

令牌（声明/标题/签名 - 所有内容均已签名/验证）>

令牌外的用户名/用户 ID 不会增加额外的安全性。

System.IdentityModel.Tokens.Jwt.JwtRegisteredClaimNames.Sub 以避免在声明名称中写入“sub”。此命名空间位于 System.IdentityModel.Tokens.Jwt nuget 包中。