系列目录
三. 集成轻量级ORM框架——SqlSugar
七. 授权认证进阶篇
源码已上传上传GitHub：https://github.com/WangRui321/RayPI
该篇是第四篇“实战！带你半小时实现接口的授权认证”的进阶篇。
先说一下之前的版本：
之前在第四篇的时候曾经试着集成过一次JWT授权认证，当时搭的第一版是JWT本身的授权认证机制，但是为了实现“令牌”的滑动过期效果，结果最后改成了使用缓存机制。
所以写到最后发现，其实就是变相的Session认证机制，因为发放“令牌”的时候完全可以不用JWT，直接生成一个GUID也是可以的。
后来想了一下，这样为了实现令牌滑动过期而破坏了授权认证的独立性，感觉得不偿失。于是就决定”进阶“下，在授权认证模块去掉缓存机制，只使用JWT本身的验证机制。
另外，这次还添加了一些关于对身份验证的优化。之前一个接口只能标明允许一种身份的用户访问，修改后可以实现一个接口同时允许多个身份访问（比如同时允许客户端和后台管理员两种身份的令牌访问）。
BTW，为了完整性考虑，下面有部分内容和之前第四篇相同，有需要的可以跳着看。
1. 根
根据维基百科定义，JWT（读作 [/dʒɒt/]），即JSON Web Tokens，是一种基于JSON的、用于在网络上声明某种主张的令牌（token）规范。
JWT通常由三部分组成: 头信息（header）, 消息体（payload）和签名（signature）。它是一种用于双方之间传递安全信息的表述性声明规范。
JWT作为一个开放的标准（RFC 7519），定义了一种简洁的、自包含的方法，从而使通信双方实现以JSON对象的形式安全的传递信息。
以上是JWT的官方解释，可以看出JWT并不是一种只能权限验证的工具，而是一种标准化的数据传输规范。所以，只要是在系统之间需要传输简短但却需要一定安全等级的数据时，都可以使用JWT规范来传输。规范是不因平台而受限制的，这也是JWT做为授权验证可以跨平台的原因。
如果理解还是有困难的话，我们可以拿JWT和JSON类比：
JSON是一种轻量级的数据交换格式，是一种数据层次结构规范。它并不是只用来给接口传递数据的工具，只要有层级结构的数据都可以使用JSON来存储和表示。当然，JSON也是跨平台的，不管是Win还是Linux，.NET还是Java，都可以使用它作为数据传输形式。
该篇的主要目的是实战，所以关于JWT本身的优点，以及使用JWT作为系统授权验证的优缺点，这里就不细说了，感兴趣的可以自己去查阅相关资料。
1.1 在授权验证系统中，JWT是怎么工作的呢？
如果将JWT运用到Web Api的授权验证中，那么它的工作原理是这样的：
1）客户端向授权服务系统发起请求，申请获取“令牌”。
2）授权服务根据用户身份，生成一张专属“令牌”，并将该“令牌”以JWT规范返回给客户端
3）客户端将获取到的“令牌”放到http请求的headers中后，向主服务系统发起请求。主服务系统收到请求后会从headers中获取“令牌”，并从“令牌”中解析出该用户的身份权限，然后做出相应的处理（同意或拒绝返回资源）
可以看出，JWT授权服务是可以脱离我们的主服务系统而作为一个独立系统存在的。
1.2 令牌是什么？JWT就是令牌吗？
前面说了其实把JWT理解为一种规范更为贴切，但是往往大家把根据JWT规则生成的加密字符串也叫作JWT，还有人直接称呼JWT为令牌。本文为了阐述方便，特此做了一些区分：
1.2.1 JWT：
本文所说的JWT皆指的是JWT规范
1.2.2 JWT字符串：
本文所说的“JWT字符串”是指通过JWT规则加密后生成的字符串，它由三部分组成：Header（头部）、Payload（数据）、Signature（签名），将这三部分由‘.’连接而组成的一长串加密字符串就成为JWT字符串。
1）Header
由且只由两个数据组成，一个是“alg”（加密规范）指定了该JWT字符串的加密规则，另一个是“typ”(JWT字符串类型)。例如：
{
"alg": "HS256",
"typ": "JWT"
}
将这组JSON格式的数据通过Base64Url格式编码后，生成的字符串就是我们JWT字符串的第一个部分。
2）Payload
由一组数据组成，它负责传递数据，我们可以添加一些已注册声明，比如“iss”（JWT字符串的颁发人名称）、“exp”（该JWT字符串的过期时间）、“sub”（身份）、“aud”（受众），除了这些，我们还可根据需要添加自定义的需要传输的数据，一般是发起请求的用户的信息。例如：
{
“iss”:"RayPI",
"sub": "Client",
"name": "张三",
"uid": 1
}
将该JSON格式的数据通过Base64Url格式编码后，生成的字符串就是我们JWT字符串的第二部分。
3）Signature
数字签名，由4个因素所同时决定：编码后的header字符串，编码后的payload字符串，之前在头部声明的加密算法，我们自定义的一个秘钥字符串（secret）。例如：
HMACSHA256(
base64UrlEncode(header) + "." +
base64UrlEncode(payload),
secret)
所以签名可以安全地验证一个JWT的合法性（有没有被篡改过）。
最后，给一个实际生成后的JWT字符串的完整样例：
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJDbGllbnQiLCJqdGkiOiIwZTRjYzVkNC0yMmIzLTQwYzUtOTBjMy0wOTk0MjFjNWRjMjkiLCJpYXQiOiIyMDE4LzcvMyAyOjE3OjQ5IiwiZXhwIjoxNTMwNjI3NDY5LCJpc3MiOiJSYXlQSSJ9.98pAaDVhNwVfiSHQVeXKhYE2ML6WK_f9rYC-iwyQEpU
我们可以拿着这个JWT字符串到https://jwt.io/#debugger试着解析出前两部分的内容。
1.2.3 令牌：
本文的“令牌”指的是用于http传输headers中用于验证授权的JSON数据，它是key和value两部分组成，在本文中，key为“Authorization”，value为“Bearer {JWT字符串}”，其中value除了JWT字符串外，还在前面添加了“Bearer ”字符串，这里可以把它理解为大家约约定俗成的规定即可，没有实际的作用。例如：
{ "Authorization": "Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJDbGllbnQiLCJqdGkiOiIwZTRjYzVkNC0yMmIzLTQwYzUtOTBjMy0wOTk0MjFjNWRjMjkiLCJpYXQiOiIyMDE4LzcvMyAyOjE3OjQ5IiwiZXhwIjoxNTMwNjI3NDY5LCJpc3MiOiJSYXlQSSJ9.98pAaDVhNwVfiSHQVeXKhYE2ML6WK_f9rYC-iwyQEpU" }
1.3 授权？认证？傻傻分不清楚
先问一个问题：认证和授权是一回事吗？
答案显然是否定的。因为大家都喜欢把这两个词放在一起说，所以很容易就混淆了他们含义。在.NET Core中，认证的单词是“Authentication”，而授权的单词是“Authorization”。
认证，验证身份的意思。即验证当前请求的用户是否为合法用户（放在当前场景下，就是验证用户携带的令牌是否为一个合法令牌）；
授权，给用户颁发权限的意思。即给验证通过的用户授予相应的权限（放在当前场景下，就是根据令牌中解析出的用户身份，赋予该http请求，该http请求使用该身份就可以访问对应的接口）
所以，我们下面要实现的总体思路是：
在每个接口上都标明该接口允许什么样的身份访问（比如“Client”代表客户端，“Admin”代表后台管理员）。
在用户登录成功后，我们将该用户的身份（是Client还是Admin）等信息生成JWT规范的令牌返回。客户端将返回的令牌存储好（一般是存在Cookie中），以后每次调用接口都要将该令牌携带上。
服务端收到请求后，提取令牌，先进行认证，如果不合法（比如被篡改），将驳回请求。如果认证通过，则从令牌中提取身份，进行授权操作，将该身份赋予http请求，放行请求。
请求进到接口后会和接口标明的允许访问身份进行匹配，如果该接口允许该身份访问，则返回相应请求资源，如果不允许，则驳回请求。
思路明白了，下面实战起来就不会乱了。
2. 道
搭建完的项目架构应该是这样的：
这里有三块工作区域：
1）JwtHelper是一个Jwt帮助类，里面有两个函数，一个函数帮助生成Jwt字符串并返回，一个帮助从Jwt字符串逆向解析出数据。
2）JwtAuthorizationFilter.cs是一个授权中间件
3）Startup中添加了认证服务和授权服务
2.1 JwtHelper
using Microsoft.IdentityModel.Tokens; using System; using System.Collections.Generic; using System.IdentityModel.Tokens.Jwt; using System.Security.Claims; using System.Text; // using RayPI.Model.ConfigModel; namespace RayPI.Helper { public class JwtHelper { /// <summary> /// 颁发JWT字符串 /// </summary> /// <param name="tokenModel"></param> /// <returns></returns> public static string IssueJWT(TokenModel tokenModel) { var dateTime = DateTime.UtcNow; var claims = new Claim[] { new Claim(JwtRegisteredClaimNames.Jti,tokenModel.Uid.ToString()),//用户Id new Claim("Role", tokenModel.Role),//身份 new Claim("Project", tokenModel.Project),//身份 new Claim(JwtRegisteredClaimNames.Iat,dateTime.ToString(),ClaimValueTypes.Integer64) }; //秘钥 var jwtConfig = new JwtAuthConfigModel(); var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(jwtConfig.JWTSecretKey)); var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256); //过期时间 double exp = 0; switch (tokenModel.TokenType) { case "Web": exp = jwtConfig.WebExp; break; case "App": exp = jwtConfig.AppExp; break; case "MiniProgram": exp = jwtConfig.MiniProgramExp; break; case "Other": exp = jwtConfig.OtherExp; break; } var jwt = new JwtSecurityToken( issuer: "RayPI", claims: claims, //声明集合 expires: dateTime.AddHours(exp), signingCredentials: creds); var jwtHandler = new JwtSecurityTokenHandler(); var encodedJwt = jwtHandler.WriteToken(jwt); return encodedJwt; } /// <summary> /// 解析 /// </summary> /// <param name="jwtStr"></param> /// <returns></returns> public static TokenModel SerializeJWT(string jwtStr) { var jwtHandler = new JwtSecurityTokenHandler(); JwtSecurityToken jwtToken = jwtHandler.ReadJwtToken(jwtStr); object role = new object(); ; object project = new object(); try { jwtToken.Payload.TryGetValue("Role", out role); jwtToken.Payload.TryGetValue("Project", out project); } catch (Exception e) { Console.WriteLine(e); throw; } var tm = new TokenModel { Uid = long.Parse(jwtToken.Id), Role = role.ToString(), Project = project.ToString() }; return tm; } } /// <summary> /// 令牌 /// </summary> public class TokenModel { /// <summary> /// 用户Id /// </summary> public long Uid { get; set; } /// <summary> /// 身份 /// </summary> public string Role { get; set; } /// <summary> /// 项目名称 /// </summary> public string Project { get; set; } /// <summary> /// 令牌类型 /// </summary> public string TokenType { get; set; } } }
其中JwtAuthConfigModel是一个存储配置文件的类，里面读取了配置文件中的jwt秘钥和几个过期时间。这里就不放了，可以在代码里直接写死。
2.2. JwtAuthorizationFilter
using Microsoft.AspNetCore.Http; using RayPI.Bussiness; using RayPI.Helper; using System; using System.Collections.Generic; using System.Linq; using System.Security.Claims; using System.Threading.Tasks; namespace RayPI.AuthHelp { /// <summary> /// 授权中间件 /// </summary> public class JwtAuthorizationFilter { private readonly RequestDelegate _next; /// <summary> /// /// </summary> /// <param name="next"></param> public JwtAuthorizationFilter(RequestDelegate next) { _next = next; } /// <summary> /// /// </summary> /// <param name="httpContext"></param> /// <returns></returns> public Task Invoke(HttpContext httpContext) { //检测是否包含'Authorization'请求头，如果不包含则直接放行 if (!httpContext.Request.Headers.ContainsKey("Authorization")) { return _next(httpContext); } var tokenHeader = httpContext.Request.Headers["Authorization"]; tokenHeader = tokenHeader.ToString().Substring("Bearer ".Length).Trim(); TokenModel tm = JwtHelper.SerializeJWT(tokenHeader); //BaseBLL.TokenModel = tm;//将tokenModel存入baseBll //授权 var claimList = new List<Claim>(); var claim = new Claim(ClaimTypes.Role, tm.Role); claimList.Add(claim); var identity = new ClaimsIdentity(claimList); var principal = new ClaimsPrincipal(identity); httpContext.User = principal; return _next(httpContext); } } }
2.3 Startup
完整代码：
using System.Collections.Generic; using System.IO; using Microsoft.AspNetCore.Builder; using Microsoft.AspNetCore.Hosting; using Microsoft.Extensions.Configuration; using Microsoft.Extensions.DependencyInjection; using Microsoft.Extensions.PlatformAbstractions; using Swashbuckle.AspNetCore.Swagger; using RayPI.Model.ConfigModel; using Microsoft.AspNetCore.Authentication.JwtBearer; using Microsoft.IdentityModel.Tokens; using System.Text; using RayPI.AuthHelp; namespace RayPI { /// <summary> /// /// </summary> public class Startup { /// <summary> /// /// </summary> /// <param name="env"></param> public Startup(IHostingEnvironment env) { var builder = new ConfigurationBuilder() .SetBasePath(env.ContentRootPath) .AddJsonFile("appsettings.json", optional: true, reloadOnChange: true); this.Configuration = builder.Build(); BaseConfigModel.SetBaseConfig(Configuration); } /// <summary> /// /// </summary> public IConfiguration Configuration { get; } /// <summary> /// This method gets called by the runtime. Use this method to add services to the container. /// </summary> /// <param name="services"></param> public void ConfigureServices(IServiceCollection services) { services.AddMvc().AddJsonOptions(options => { options.SerializerSettings.DateFormatString = "yyyy-MM-dd HH:mm:ss";//设置时间格式 }); #region Swagger services.AddSwaggerGen(c => { c.SwaggerDoc("v1", new Info { Version = "v1.1.0", Title = "Ray WebAPI", Description = "框架集合", TermsOfService = "None", Contact = new Swashbuckle.AspNetCore.Swagger.Contact { Name = "RayWang", Email = "2271272653@qq.com", Url = "http://www.cnblogs.com/RayWang" } }); //添加注释服务 var basePath = PlatformServices.Default.Application.ApplicationBasePath; var apiXmlPath = Path.Combine(basePath, "APIHelp.xml"); var entityXmlPath = Path.Combine(basePath, "EntityHelp.xml"); c.IncludeXmlComments(apiXmlPath, true);//控制器层注释（true表示显示控制器注释） c.IncludeXmlComments(entityXmlPath); //添加控制器注释 //c.DocumentFilter<SwaggerDocTag>(); //添加header验证信息 //c.OperationFilter<SwaggerHeader>(); var security = new Dictionary<string, IEnumerable<string>> { { "Bearer", new string[] { } }, }; c.AddSecurityRequirement(security);//添加一个必须的全局安全信息，和AddSecurityDefinition方法指定的方案名称要一致，这里是Bearer。 c.AddSecurityDefinition("Bearer", new ApiKeyScheme { Description = "JWT授权(数据将在请求头中进行传输) 参数结构: "Authorization: Bearer {token}"", Name = "Authorization",//jwt默认的参数名称 In = "header",//jwt默认存放Authorization信息的位置(请求头中) Type = "apiKey" }); }); #endregion #region 认证 services.AddAuthentication(x => { x.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme; x.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme; }) .AddJwtBearer(o => { JwtAuthConfigModel jwtConfig=new JwtAuthConfigModel(); o.TokenValidationParameters = new TokenValidationParameters { ValidIssuer = "RayPI", ValidAudience = "wr", IssuerSigningKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes(jwtConfig.JWTSecretKey)), /***********************************TokenValidationParameters的参数默认值***********************************/ RequireSignedTokens = true, // SaveSigninToken = false, // ValidateActor = false, // 将下面两个参数设置为false，可以不验证Issuer和Audience，但是不建议这样做。 ValidateAudience = false, ValidateIssuer = true, ValidateIssuerSigningKey = true, // 是否要求Token的Claims中必须包含 Expires RequireExpirationTime = true, // 允许的服务器时间偏移量 // ClockSkew = TimeSpan.FromSeconds(300), // 是否验证Token有效期，使用当前时间与Token的Claims中的NotBefore和Expires对比 ValidateLifetime = true }; }); #endregion #region 授权 services.AddAuthorization(options => { options.AddPolicy("RequireClient", policy => policy.RequireRole("Client").Build()); options.AddPolicy("RequireAdmin", policy => policy.RequireRole("Admin").Build()); options.AddPolicy("RequireAdminOrClient", policy => policy.RequireRole("Admin,Client").Build()); }); #endregion #region CORS services.AddCors(c => { c.AddPolicy("Any", policy => { policy.AllowAnyOrigin() .AllowAnyMethod() .AllowAnyHeader() .AllowCredentials(); }); c.AddPolicy("Limit", policy => { policy .WithOrigins("localhost:8083") .WithMethods("get", "post", "put", "delete") //.WithHeaders("Authorization"); .AllowAnyHeader(); }); }); #endregion } /// <summary> /// This method gets called by the runtime. Use this method to configure the HTTP request pipeline. /// </summary> /// <param name="app"></param> /// <param name="env"></param> public void Configure(IApplicationBuilder app, IHostingEnvironment env) { if (env.IsDevelopment()) { app.UseDeveloperExceptionPage(); } #region Swagger app.UseSwagger(); app.UseSwaggerUI(c => { c.SwaggerEndpoint("/swagger/v1/swagger.json", "ApiHelp V1"); }); #endregion //认证 app.UseAuthentication(); //授权 app.UseMiddleware<JwtAuthorizationFilter>(); app.UseMvc(); app.UseStaticFiles();//用于访问wwwroot下的文件 } } }
Tips：
这里有一个坑，不太了解依赖注入和中间件的人很容易踩到（其实就是我自己了）
在Startup.cs的Configure函数中，里面每个app.UseXXXXX();是有一定顺序。可以理解为，这里添加中间件的顺序就是客户端发起http请求时所经过的顺序。
之前我因为把“app.UseMvc();”写到了认证授权上面去了，结果导致怎么Debug都找不到问题。。。
所以一定要先app.UseAuthentication()认证，然后app.UseMiddleware<JwtAuthorizationFilter>()授权，最后再app.UseMvc()
3.果
搭建完成之后，下面就是测试了。
选择一个测试控制器，在其头上标注[Authorize]属性
（Policy和Roles两种写法是一个意思，但是必须要是Startup中已经申明的，否则Swagger会直接报错）
F5运行，在swagger ui中调用一个需要授权验证的接口（根据Id获取学生信息）
输入1，先不进行任何授权认证的操作，直接点击Excute尝试调用，返回结果如下：
状态码500，还返回了一大段html代码，我们可以将接口的完整地址输入到浏览器地址栏进行访问，就可以看到这段html代码的页面了：
可以看到接口返回了一个错误页，原因就是中间件在http请求的头部（headers）中没有找到“Authorization"字段里的”令牌“。
现在，我们先调用获取JWT接口（实际项目中不应该有该接口，分发令牌的功能应该集成到登陆功能中，但是这里为了简单直观，我将分发令牌的功能直接写成了接口，以供测试），输入相应的客户端信息，Excute:
接口会生成”令牌“，返回JWT字符串：
我们要复制这串JWT字符串，然后将其添加到http请求的Headers中去。测试方法有两个：
1）可以新建一个html页面，模拟前端写个ajax调用接口，在ajax添加headers字段，如下：
$.ajax({
url: "http://localhost:3608/api/Admin/Student/1",
type: ”get“,
dataType: "json",
//data: {},
async: false,
//手动高亮
headers: { "Authorization": "Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJBZG1pbiIsImp0aSI6IjhjMDEwMzI2LTE4M2MtNGQ5ZC1iMDFjLWFjM2EzNTIzODYxOCIsImlhdCI6IjIwMTgvNy8yIDE1OjAzOjQ4IiwiZXhwIjoxNTMwNTg3MDI4LCJpc3MiOiJSYXlQSSJ9.1Bb7hwoDD12n8ymcQsu79Xm-GDq14GERhS9b-1l1kmg" },
success: function (d) {
alert(JSON.stringify(d));
},
error: function (d) {
alert(JSON.stringify(d))
}
});
2）如果你的swagger像我一样，集成了添加Authrize头部功能，那么可以点击这个按钮进行添加（如果你的swagger看不到这个按钮，可以参考我之前的章节【从零开始搭建自己的.NET Core Api框架】（一）创建项目并集成swagger：1.2 完善，对swagger进行相关的设置）
这里除了JWT字符串外，前面还需要手动写入“Bearer ”(有一个空格)字符串。点击Authorize保存"令牌"。
再次调用刚才的”根据id获取学生信息“接口，发现获取成功：
可以看到swagger向http请求的headers中添加了我们刚才保存的”令牌“。
参考内容：
https://jwt.io/
https://www.cnblogs.com/webenh/p/9039322.html