asp.net core 2.1中如何使用jwt（从原理到精通）

为什么使用 Jwt

最近，移动开发的劲头越来越足，学校搞的各种比赛都需要用手机 APP 来撑场面，所以，作为写后端的，很有必要改进一下以往的基于 Session 的身份认证方式了，理由如下：

移动端经常要保持长时间（1 到 2 星期）在线，但是 Session 却不好在服务端保存这么久，虽然可以持久化到数据库，但是还是挺费资源
移动端往往不是使用的网页技术，所以藏在 Cookie 里面的 SessionId 不是很方便的传递给服务端
服务端暴露给客户端的接口往往是 RESTful 风格的，这是一种无状态的 API 风格，所以身份认证的方式最好也是无状态的才好

所以我选择了使用 Jwt (Json Web Token) 这个技术。Jwt 是一种无状态的分布式的身份验证方式，与 Session 相反，Jwt 将用户信息存放在 Token 的 payload 字段保存在客户端，通过 RSA 加密的方式，保证数据不会被篡改，验证数据有效性。

下面是一个使用 Jwt 的系统的身份验证流程：

可以看出，用户的信息保存在 Token 中，而 Token 分布在用户的设备中，所以服务端不再需要在内存中保存用户信息了
身份认证的 Token 传递时以一种相当简单的格式保存在 header 中，方便客户端对其进行操作

原理

jwt对所有语言都是通用的，只要知道秘钥，另一一种语言有可以对jwt的有效性进行判断;

jwt的组成；Header部分Base64转化.Payload部分Base64转化.使用HS256方式根据秘钥对前面两部分进行加密后再Base64转化，其中使用的hs256加密是header部分指定的，也可以通过官网的查看，如下图：

原理就这么简单，那究竟用怎样使用C#来实现呢，又怎么确定它的正确性呢？，请继续

使用C#实现

我们定义一个今天方法，其中需要使用到Microsoft.IdentityModel.Tokens.dll，asp.net core 2.1再带，如果其他版本，没有自带，需要nuget 一下这个类库

/// <summary>

/// 创建jwttoken,源码自定义

/// </summary>

/// <param name="payLoad"></param>

/// <param name="header"></param>

/// <returns></returns>

public static string CreateToken(Dictionary<string, object> payLoad,int expiresMinute, Dictionary<string, object> header = null)

{

if (header == null)

{

header = new Dictionary<string, object>(new List<KeyValuePair<string, object>>() {

new KeyValuePair<string, object>("alg", "HS256"),

new KeyValuePair<string, object>("typ", "JWT")

});

}

//添加jwt可用时间（应该必须要的）

var now = DateTime.UtcNow;

payLoad["nbf"] = ToUnixEpochDate( now);//可用时间起始

payLoad["exp"] = ToUnixEpochDate(now.Add(TimeSpan.FromMinutes(expiresMinute)));//可用时间结束

var encodedHeader = Base64UrlEncoder.Encode(JsonConvert.SerializeObject(header));

var encodedPayload = Base64UrlEncoder.Encode(JsonConvert.SerializeObject(payLoad));

var hs256 = new HMACSHA256(Encoding.ASCII.GetBytes(securityKey));

var encodedSignature = Base64UrlEncoder.Encode(hs256.ComputeHash(Encoding.UTF8.GetBytes(string.Concat(encodedHeader, ".", encodedPayload))));

var encodedJwt = string.Concat(encodedHeader, ".", encodedPayload, ".", encodedSignature);

return encodedJwt;

}

public static long ToUnixEpochDate(DateTime date) => (long)Math.Round((date.ToUniversalTime() - new DateTimeOffset(1970, 1, 1, 0, 0, 0, TimeSpan.Zero)).TotalSeconds);

该方法很简单，只需要传入header键值对和payLoad键值对，然后根据原理进行Base64转换和hs256加密，接下来我们来使用一个测试类对其进行测试，代码如下：

[TestMethod]

public void TokenValidateTest()

{

Dictionary<string, object> payLoad = new Dictionary<string, object>();

payLoad.Add("sub", "rober");

payLoad.Add("jti", "09e572c7-62d0-4198-9cce-0915d7493806");

payLoad.Add("nbf", null);

payLoad.Add("exp", null);

payLoad.Add("iss", "roberIssuer");

payLoad.Add("aud", "roberAudience");

payLoad.Add("age", 30);

var encodeJwt = TokenContext.CreateToken(payLoad, 30);

var result = TokenContext.Validate(encodeJwt, (load) => { return true; });

Assert.IsTrue(result);

}

先不管后面的验证，我们先看看其中生成的encodeJwt的值：eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJyb2JlciIsImp0aSI6IjY0OWMyYjUxLTE4ZGQtNDEzYy05Yzc5LTI4NWNhMDAxODU2NSIsIm5iZiI6MTU0MDYxMDY2NSwiZXhwIjoxNTQwNjEyNDY1LCJpc3MiOiJyb2Jlcklzc3VlciIsImF1ZCI6InJvYmVyQXVkaWVuY2UiLCJhZ2UiOjMwfQ.7Is2KYHAtSr5fW2gPU1jGeHPzz2ULCZJGcWb40LSYyw