ASP.NET Core 标识（Identity）框架系列（三）：在 ASP.NET Core Web API ...

前言：JWT实现登录的流程

• 客户端向服务器端发送用户名、密码等请求登录。
  
• 服务器端校验用户名、密码，如果校验乐成，则从数据库中取出这个用户的ID、角色等用户相关信息。
  
• 服务器端采取只有服务器端才知道的密钥来对用户信息的 JSON 字符串进行署名，形成署名数据。
  
• 服务器端把用户信息的 JSON 字符串和署名拼接到一起形成JWT，然后发送给客户端。
  
• 客户端保存服务器端返回的 JWT，而且在客户端每次向服务器端发送请求的时候都带上这个 JWT。
  
• 每次服务器端收到欣赏器请求中携带的 JWT 后，服务器端用密钥对JWT的署名进行校验，如果校验乐成，服务器端则从 JWT 中的 JSON 字符串中读取出用户的信息。
  

Step By Step 步骤

• 创建一个 Asp.Net Core WebApi 项目
  
• 引用以下 Nuget 包：
  

  Microsoft.AspNetCore.Authentication.JwtBearer
  Microsoft.AspNetCore.Identity.EntityFrameworkCore
  Microsoft.EntityFrameworkCore.SqlServer
  Microsoft.EntityFrameworkCore.Tools
  

  
  
• 打开 appsettings.json 文件，设置数据库连接字符串和JWT的密钥、逾期时间
  1. {
  2.   "Logging": {
  3.         "LogLevel": {
  4.           "Default": "Information",
  5.           "Microsoft.AspNetCore": "Warning"
  6.         }
  7.   },
  8.   "AllowedHosts": "*",
  9.   "ConnectionStrings": {
  10.         "Default": "Server=(localdb)\\mssqllocaldb;Database=IdentityTestDB;Trusted_Connection=True;MultipleActiveResultSets=true"
  11.   },
  12.   "JWT": {
  13.         "SigningKey": "fasdfad&9045dafz222#fadpio@0232",
  14.         "ExpireSeconds": "86400"
  15.   }
  16. }

  复制代码
• 创建JWT设置实体类 JWTOptions
  1. public class JWTOptions
  2. {
  3.         public string SigningKey { get; set; }
  4.         public int ExpireSeconds { get; set; }
  5. }

  复制代码
• 打开 Program.cs 文件，在 builder.Build 之前，编写代码对 JWT 进行设置
  1. // 注入 JWT 配置
  2. services.Configure<JWTOptions>(builder.Configuration.GetSection("JWT"));
  4. // 注入 JwtBearer 配置
  5. services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
  6.         .AddJwtBearer(x => {
  7.                 var jwtOpt = builder.Configuration.GetSection("JWT").Get<JWTOptions>();
  8.                 byte[] keyBytes = Encoding.UTF8.GetBytes(jwtOpt.SigningKey);
  9.                 var secKey = new SymmetricSecurityKey(keyBytes);
  10.                 x.TokenValidationParameters = new()
  11.                 {
  12.                         ValidateIssuer = false,
  13.                         ValidateAudience = false,
  14.                         ValidateLifetime = true,
  15.                         ValidateIssuerSigningKey = true,
  16.                         IssuerSigningKey = secKey
  17.                 };
  18.         });

  复制代码
• 打开 Program.cs 文件，在 app.UseAuthorization 之前，添加身份验证中心件
  1. // 使用 Authentication 中间件，放在 UseAuthorization 之前
  2. app.UseAuthentication();

  复制代码
• 创建继承 IdentityRole 的 User 和 Role 实体类
  1. using Microsoft.AspNetCore.Identity;
  3. public class User: IdentityUser<long>
  4. {
  5.         public DateTime CreationTime { get; set; }
  6.         public string? NickName { get; set; }
  7. }
  9. public class Role: IdentityRole<long>
  10. {
  12. }

  复制代码
• 创建继承 IdentityDbContext 的上下文类
  1. using Microsoft.EntityFrameworkCore;
  2. using Microsoft.AspNetCore.Identity.EntityFrameworkCore;
  4. public class IdDbContext: IdentityDbContext<User, Role, long>
  5. {
  6.         public IdDbContext(DbContextOptions<IdDbContext> options) : base(options)
  7.         {
  9.         }
  11.         protected override void OnModelCreating(ModelBuilder modelBuilder)
  12.         {
  13.                 base.OnModelCreating(modelBuilder);
  14.                 modelBuilder.ApplyConfigurationsFromAssembly(this.GetType().Assembly);
  15.         }
  16. }

  复制代码
• （可选）如果数据表还没创建，执行数据库迁移命令
  
  
  
  • 参考前文《ASP.NET Core 标识（Identity）框架系列（一）：如何使用标识（Identity）创建用户和角色？》
    
  
  
• 创建登录请求的参数实体类 LoginRequest
  1. public record LoginRequest(string UserName, string Password);

  复制代码
• 打开登录请求控制器，编写 Login API，在其中创建 JWT
  1. using Microsoft.AspNetCore.Identity;
  2. using Microsoft.AspNetCore.Mvc;
  3. using Microsoft.Extensions.Options;
  4. using Microsoft.IdentityModel.Tokens;
  5. using System.IdentityModel.Tokens.Jwt;
  6. using System.Security.Claims;
  7. using System.Text;
  9. namespace ASPNETCore_JWT1.Controllers
  10. {
  11.         [ApiController]
  12.         [Route("[controller]/[action]")]
  13.         public class Test1Controller : ControllerBase
  14.         {
  15.                 private readonly UserManager<User> userManager;
  17.                 //注入 UserManager
  18.                 public Test1Controller(UserManager<User> userManager)
  19.                 {
  20.                         this.userManager = userManager;
  21.                 }
  23.                 // 生成 JWT
  24.                 private static string BuildToken(IEnumerable<Claim> claims, JWTOptions options)
  25.                 {
  26.                         DateTime expires = DateTime.Now.AddSeconds(options.ExpireSeconds);
  27.                         byte[] keyBytes = Encoding.UTF8.GetBytes(options.SigningKey);
  28.                         var secKey = new SymmetricSecurityKey(keyBytes);
  29.                         var credentials = new SigningCredentials(secKey, SecurityAlgorithms.HmacSha256Signature);
  30.                         var tokenDescriptor = new JwtSecurityToken(
  31.                                 expires: expires, signingCredentials:
  32.                                 credentials,
  33.                                 claims: claims);
  34.                         var result = new JwtSecurityTokenHandler().WriteToken(tokenDescriptor);
  35.                         return result;
  36.                 }
  38.                 // 在方法中注入 IOptions<JWTOptions>
  39.                 // 只需要返回 JWT Token 即可，其它的身份验证中间件会处理
  40.                 [HttpPost]
  41.                 public async Task<IActionResult> Login(
  42.                         LoginRequest req,
  43.                         [FromServices] IOptions<JWTOptions> jwtOptions)
  44.                 {
  45.                         string userName = req.UserName;
  46.                         string password = req.Password;
  47.                         var user = await userManager.FindByNameAsync(userName);
  48.                         if (user == null)
  49.                         {
  50.                                 return NotFound($"用户名不存在{userName}");
  51.                         }
  52.                         if (await userManager.IsLockedOutAsync(user))
  53.                         {
  54.                                 return BadRequest("LockedOut");
  55.                         }
  56.                         var success = await userManager.CheckPasswordAsync(user, password);
  57.                         if (!success)
  58.                         {
  59.                                 return BadRequest("Failed");
  60.                         }
  61.                        
  62.                         var claims = new List<Claim>();
  63.                         claims.Add(new Claim(ClaimTypes.NameIdentifier, user.Id.ToString()));
  64.                         claims.Add(new Claim(ClaimTypes.Name, user.UserName));
  65.                         var roles = await userManager.GetRolesAsync(user);
  66.                         foreach (string role in roles)
  67.                         {
  68.                                 claims.Add(new Claim(ClaimTypes.Role, role));
  69.                         }
  71.                         var jwtToken = BuildToken(claims, jwtOptions.Value);
  72.                         return Ok(jwtToken);
  73.                 }
  74.         }
  75. }

  复制代码
• 打开别的控制器，在类上添加 [Authorize] 这个特性
  1. using Microsoft.AspNetCore.Mvc;
  2. using System.Security.Claims;
  3. using Microsoft.AspNetCore.Authorization;
  5. namespace ASPNETCore_JWT1.Controllers
  6. {
  7.         // [Authorize] 特性标识此控制器的方法需要身份授权才能访问
  8.         // 授权中间件会处理其它的
  9.         [ApiController]
  10.         [Route("[controller]/[action]")]
  11.         [Authorize]
  12.         public class Test2Controller : Controller
  13.         {
  14.                 [HttpGet]
  15.                 public IActionResult Hello()
  16.                 {
  17.                         // ControllerBase中定义的ClaimsPrincipal类型的User属性代表当前登录用户的身份信息
  18.                         // 可以通过ClaimsPrincipal的Claims属性获得当前登录用户的所有Claim信息
  19.                         // this.User.Claims
  20.                        
  21.                         string id = this.User.FindFirst(ClaimTypes.NameIdentifier)!.Value;
  22.                         string userName = this.User.FindFirst(ClaimTypes.Name)!.Value;
  23.                         IEnumerable<Claim> roleClaims = this.User.FindAll(ClaimTypes.Role);
  24.                         string roleNames = string.Join(",", roleClaims.Select(c => c.Value));
  25.                         return Ok($"id={id},userName={userName},roleNames ={roleNames}");
  26.                 }
  27.         }
  28. }

  复制代码
• 打开 Program.cs 文件，设置 Swagger，支持发送 Authorization 报文头
  1. // 配置 Swagger 支持 Authorization
  2. builder.Services.AddSwaggerGen(c => {
  3.         var scheme = new OpenApiSecurityScheme()
  4.         {
  5.                 Description = "Authorization header. \r\nExample: 'Bearer 12345abcdef'",
  6.                 Reference = new OpenApiReference
  7.                 {
  8.                         Type = ReferenceType.SecurityScheme,
  9.                         Id = "Authorization"
  10.                 },
  11.                 Scheme = "oauth2",
  12.                 Name = "Authorization",
  13.                 In = ParameterLocation.Header,
  14.                 Type = SecuritySchemeType.ApiKey
  15.         };
  16.         c.AddSecurityDefinition("Authorization", scheme);
  17.         var requirement = new OpenApiSecurityRequirement();
  18.         requirement[scheme] = new List<string>();
  19.         c.AddSecurityRequirement(requirement);
  20. });

  复制代码

启动项目，进行测试

• 首先访问/Test1/Login，获取 JWT Token，复制下这个值
  
• 然后访问/Test2/Hello，不带 JWT Token，将收到 401 信息
  
• 在 Swagger 上的 Authorization 输入 JWT Token，重新访问/Test2/Hello，将返回正确的效果
  
  
  
  • 如果是在 Postman 等第三方，要在 Header 上加上参数 Authorization=bearer
    
  
  

附录：完整的 Program 代码（重点注意代码中的注释）

1. using Microsoft.AspNetCore.Identity;using Microsoft.OpenApi.Models;using Microsoft.EntityFrameworkCore;using Microsoft.AspNetCore.Authentication.JwtBearer;using System.Text;using Microsoft.IdentityModel.Tokens;var builder = WebApplication.CreateBuilder(args);// Add services to the container.builder.Services.AddControllers();// Learn more about configuring Swagger/OpenAPI at https://aka.ms/aspnetcore/swashbucklebuilder.Services.AddEndpointsApiExplorer();// 设置 Swagger 支持 Authorizationbuilder.Services.AddSwaggerGen(c => {    var scheme = new OpenApiSecurityScheme()    {        Description = "Authorization header. \r\nExample: 'Bearer 12345abcdef'",        Reference = new OpenApiReference        {            Type = ReferenceType.SecurityScheme,            Id = "Authorization"        },        Scheme = "oauth2",        Name = "Authorization",        In = ParameterLocation.Header,        Type = SecuritySchemeType.ApiKey    };    c.AddSecurityDefinition("Authorization", scheme);    var requirement = new OpenApiSecurityRequirement();    requirement[scheme] = new List();    c.AddSecurityRequirement(requirement);});var services = builder.Services;// 注册数据库服务services.AddDbContext(opt => {    string connStr = builder.Configuration.GetConnectionString("Default")!;    opt.UseSqlServer(connStr);});// 注册数据掩护服务services.AddDataProtection();// 注册 IdentityCore 服务services.AddIdentityCore(options => {     options.Password.RequireDigit = false;    options.Password.RequireLowercase = false;    options.Password.RequireNonAlphanumeric = false;    options.Password.RequireUppercase = false;    options.Password.RequiredLength = 6;    options.Tokens.PasswordResetTokenProvider = TokenOptions.DefaultEmailProvider;    options.Tokens.EmailConfirmationTokenProvider = TokenOptions.DefaultEmailProvider;});// 注入UserManager、RoleManager等服务var idBuilder = new IdentityBuilder(typeof(User), typeof(Role), services);idBuilder.AddEntityFrameworkStores()    .AddDefaultTokenProviders()    .AddRoleManager()    .AddUserManager();// 注入 JWT 设置services.Configure(builder.Configuration.GetSection("JWT"));// 注入 JwtBearer 设置services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)    .AddJwtBearer(x => {         var jwtOpt = builder.Configuration.GetSection("JWT").Get();        byte[] keyBytes = Encoding.UTF8.GetBytes(jwtOpt.SigningKey);        var secKey = new SymmetricSecurityKey(keyBytes);        x.TokenValidationParameters = new()        {            ValidateIssuer = false,            ValidateAudience = false,            ValidateLifetime = true,            ValidateIssuerSigningKey = true,            IssuerSigningKey = secKey        };    });var app = builder.Build();// Configure the HTTP request pipeline.if (app.Environment.IsDevelopment()){    app.UseSwagger();    app.UseSwaggerUI();}app.UseHttpsRedirection();// 使用 Authentication 中间件，放在 UseAuthorization 之前
2. app.UseAuthentication();app.UseAuthorization();app.MapControllers();app.Run();

复制代码

总结

• 如果其中某个操作方法不想被验证，可以在这个操作方法上添加 [AllowAnonymous] 特性
  
• 对于客户端获得的 JWT，在前端项目中，可以把令牌保存到 Cookie、LocalStorage 等位置，从而在后续请求中重复使用，而对于移动App、PC客户端，可以把令牌保存到设置文件中或者本地文件数据库中。当执行【退出登录】操作的时候，我们只要在客户端本地把 JWT 删除即可。
  
• 在发送请求的时候，只要按照 HTTP 的要求，把 JWT 按照 "Bearer {JWT Token}" 格式放到名字为 Authorization 的请求报文头中即可
  
• 从 Authorization 中取出令牌，而且进行校验、解析，然后把解析效果填充到 User 属性中，这统统都是 ASP.NET Core 完成的，不必要开发职员本身编写代码
  

往期精彩

• C# 静态类，高手不想让你知道的 15 个真相
  
• 封装一个 C# 范围判断函数，从此告别重复编写范围判断代码的烦恼
  
• 用 C# Stopwatch 计时，让代码性能飞起来！
  
• 轻装上阵，Visual Studio LocalDB：.NET 程序员的本地数据库神器
  
• 封装一个C#万能基础数据范例转换器，一招解决所有基础范例转换烦恼
  
• 闲话 .NET（7）：.NET Core 能淘汰 .NET FrameWork 吗？
  
• 常用的 4 种 ORM 框架（EF Core，SqlSugar，FreeSql，Dapper）对比总结
  
• C# AutoMapper 10个常用方法总结
  
• C# 7个方法比较两个对象是否相等
  
• C# 去掉字符串最后一个字符的 4 种方法
  

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。