C#實現(xiàn)JWT無狀態(tài)驗證的實戰(zhàn)應用解析

更新時間：2021年03月01日 10:32:30 作者：kiba518

這篇文章主要介紹了C#實現(xiàn)JWT無狀態(tài)驗證的實戰(zhàn)應用解析,本文給大家介紹的非常詳細，對大家的學習或工作具有一定的參考借鑒價值，需要的朋友可以參考下

前言

本文主要介紹JWT的實戰(zhàn)運用。

準備工作

首先我們創(chuàng)建一個Asp.Net的，包含MVC和WebApi的Web項目。

然后使用Nuget搜索JWT，安裝JWT類庫，如下圖。

設計思路

這里我們簡單的做了一個token驗證的設計，設計思路如下圖所示：

代碼實現(xiàn)

緩存

首先，我們先開發(fā)工具類，根據(jù)設計思路圖可得知，我們需要一個緩存類，用于在服務器端存儲token。

編寫緩存相關類代碼如下：

public class CacheHelper
 {
 public static object GetCache(string key)
 {
  return HttpRuntime.Cache[key];
 }

 public static T GetCache<T>(string key) where T : class
 {
  return (T)HttpRuntime.Cache[key];
 }

 public static bool ContainsKey(string key)
 {
  return GetCache(key) != null;
 }

 public static void RemoveCache(string key)
 {
  HttpRuntime.Cache.Remove(key);
 }

 public static void SetKeyExpire(string key, TimeSpan expire)
 {
  object value = GetCache(key);
  SetCache(key, value, expire);
 }

 public static void SetCache(string key, object value)
 {
  _SetCache(key, value, null, null);
 }

 public static void SetCache(string key, object value, TimeSpan timeout)
 {
  _SetCache(key, value, timeout, ExpireType.Absolute);
 }

 public static void SetCache(string key, object value, TimeSpan timeout, ExpireType expireType)
 {
  _SetCache(key, value, timeout, expireType);
 }

 private static void _SetCache(string key, object value, TimeSpan? timeout, ExpireType? expireType)
 {
  if (timeout == null)
  HttpRuntime.Cache[key] = value;
  else
  {
  if (expireType == ExpireType.Absolute)
  {
   DateTime endTime = DateTime.Now.AddTicks(timeout.Value.Ticks);
   HttpRuntime.Cache.Insert(key, value, null, endTime, Cache.NoSlidingExpiration);
  }
  else
  {
   HttpRuntime.Cache.Insert(key, value, null, Cache.NoAbsoluteExpiration, timeout.Value);
  }
  }
 }
 }
 /// <summary>
 /// 過期類型
 /// </summary>
 public enum ExpireType
 {
 /// <summary>
 /// 絕對過期
 /// 注：即自創(chuàng)建一段時間后就過期
 /// </summary>
 Absolute,

 /// <summary>
 /// 相對過期
 /// 注：即該鍵未被訪問后一段時間后過期，若此鍵一直被訪問則過期時間自動延長
 /// </summary>
 Relative,
 }

如上述代碼所示，我們編寫了緩存幫助類—CacheHelper類。

CacheHelper類：使用HttpRuntime的緩存，類里實現(xiàn)緩存的增刪改，因為使用的是HttpRuntime，所以，如果沒有設置緩存的超時時間，則緩存的超時時間等于HttpRuntime.Cache配置的默認超時時間。

如果網站掛載在IIS里，那么，HttpRuntime.Cache配置超時時間的地方在該網站的應用程序池中，如下圖：

Jwt的幫助類

現(xiàn)在我們編寫Jwt的幫助類，代碼如下：

public class JwtHelper
{
 //私鑰 
 public const string secret = "MIGfMA0GCSqGSIb3DQEBAQUAA4GNAmD7RTE2drj6hf3oZjJpMPZUQ1Qjb5H3K3PNwIDAQAB";
 
 /// <summary>
 /// <summary>
 /// 生成JwtToken
 /// </summary>
 /// <param name="payload">不敏感的用戶數(shù)據(jù)</param>
 /// <returns></returns>
 public static string SetJwtEncode(string username,int expiresMinutes)
 {
 //格式如下
 var payload = new Dictionary<string, object>
 {
  { "username",username },
  { "exp ", expiresMinutes },
  { "domain", "" }
 };

 IJwtAlgorithm algorithm = new HMACSHA256Algorithm();
 IJsonSerializer serializer = new JsonNetSerializer();
 IBase64UrlEncoder urlEncoder = new JwtBase64UrlEncoder();
 IJwtEncoder encoder = new JwtEncoder(algorithm, serializer, urlEncoder);

 var token = encoder.Encode(payload, secret);
 return token;
 }
 
 /// <summary>
 /// 根據(jù)jwtToken 獲取實體
 /// </summary>
 /// <param name="token">jwtToken</param>
 /// <returns></returns>
 public static IDictionary<string,object> GetJwtDecode(string token)
 {
 IJsonSerializer serializer = new JsonNetSerializer();
 IDateTimeProvider provider = new UtcDateTimeProvider();
 IJwtValidator validator = new JwtValidator(serializer, provider);
 IBase64UrlEncoder urlEncoder = new JwtBase64UrlEncoder();
 IJwtAlgorithm algorithm = new HMACSHA256Algorithm();
 IJwtDecoder decoder = new JwtDecoder(serializer, validator, urlEncoder, algorithm);
 var dicInfo = decoder.DecodeToObject(token, secret, verify: true);//token為之前生成的字符串
 return dicInfo;
 }
}

代碼很簡單，實現(xiàn)了JWT的Code的創(chuàng)建和解析。

注：JWT的Code雖然是密文，但它是可以被解析的，所以我們不要在Code里存儲重要信息，比如密碼。

JWT的Code與解析后的內容如下圖所示，左邊未Code，右邊未解析的內容。

AuthenticationHelper驗證幫助類

現(xiàn)在，我們已經可以編寫驗證類了，利用剛剛已創(chuàng)建的緩存幫助類和JWT幫助類。

AuthenticationHelper驗證幫助類代碼如下：

public class AuthenticationHelper
 {
 /// <summary>
 /// 默認30分鐘
 /// </summary>
 /// <param name="username"></param>
 public static void AddUserAuth(string username)
 {
  var token = JwtHelper.SetJwtEncode(username, 30);
  CacheHelper.SetCache(username, token, new TimeSpan(TimeSpan.TicksPerHour / 2));
 }
 public static void AddUserAuth(string username, TimeSpan ts)
 {
  var token = JwtHelper.SetJwtEncode(username, ts.Minutes);
  CacheHelper.SetCache(username, token, ts);

 }
 public static string GetToken(string username)
 {
  var cachetoken = CacheHelper.GetCache(username);
  return cachetoken.ParseToString(); 
 }
 public static bool CheckAuth(string token)
 {
  var dicInfo = JwtHelper.GetJwtDecode(token);
  var username = dicInfo["username"];

  var cachetoken = CacheHelper.GetCache(username.ToString());
  if (!cachetoken.IsNullOrEmpty() && cachetoken.ToString() == token)
  {
  return true;
  }
  else
  {
  return false;
  }
 }
 }

如代碼所示，我們實現(xiàn)了驗證token創(chuàng)建、驗證token獲取、驗證Token校驗三個方法。

到此，我們的基礎代碼已經編寫完了，下面進入驗證的應用。

Fliter

首先，在Global.asax文件中，為我們WebApi添加一個過濾器，代碼如下：

public class WebApiApplication : System.Web.HttpApplication
{
 protected void Application_Start()
 {
 AreaRegistration.RegisterAllAreas();
 GlobalConfiguration.Configure(WebApiConfig.Register);
 //webapiFilter
 System.Web.Http.GlobalConfiguration.Configuration.Filters.Add(new HttpPermissionFilter());
 System.Web.Http.GlobalConfiguration.Configuration.Filters.Add(new HttpExceptionFilter());
 //mvcFliter
 System.Web.Mvc.GlobalFilters.Filters.Add(new MvcExceptionFilter());
 System.Web.Mvc.GlobalFilters.Filters.Add(new MvcPermissionFilter());
 RouteConfig.RegisterRoutes(RouteTable.Routes);
 BundleConfig.RegisterBundles(BundleTable.Bundles);
 }
}

代碼中創(chuàng)建了四個過濾器，分別是MVC的請求和異常過濾器和WebApi的請求和異常過濾器。

這里我們主要看WebApi的請求過濾器——HttpPermissionFilter。代碼如下：

public class HttpPermissionFilter : System.Web.Http.Filters.ActionFilterAttribute
{
 public override void OnActionExecuting(HttpActionContext actionContext)
 {
 string url ="請求Url" + actionContext.Request.RequestUri.ToString();
 var action = actionContext.ActionDescriptor.ActionName.ToLower();
 var controller = actionContext.ControllerContext.ControllerDescriptor.ControllerName.ToLower();
 if (controller != "login" && controller != "loginout")
 {
  //客戶端段token獲取
  var token = actionContext.Request.Headers.Authorization != null ? actionContext.Request.Headers.Authorization.ToString() : "";
  //服務端獲取token 與客戶端token進行比較
  if (!token.IsNullOrEmpty() && AuthenticationHelper.CheckAuth(token))
  {
  //認證通過，可進行日志等處理
  }
  else
  {
  throw new Exception("Token無效");
  }
 }
 }
}

我們的HttpPermissionFilter類繼承了System.Web.Http.Filters.ActionFilterAttribute，這樣他就可以截獲所有的WebApi請求了。

然后我們重寫了他的OnActionExecuting方法，在方法里，我們查詢到當前請求的Controller的名稱，然后對其進行了一個簡單的判斷，如果是login（登錄）或loginout（登出），那我們就不對他的token進行驗證。如果是其他請求，則會從請求的Headers的Authorization屬性里讀取token，并使用AuthenticationHelper類對這個token進行正確性的驗證。

WebApi接口

現(xiàn)在我們編寫WebApi接口，編寫一個登錄接口和一個普通請求接口。

登錄接口：這里我們使用AuthenticationHelper類創(chuàng)建一個token，并把他存儲到緩存中。

然后再把token返回給調用者。

普通接口：這里我們不做任何操作，就是簡單的返回成功，因為是否可以訪問這個接口，已經又Filter控制了。

代碼如下:

public class LoginController : ApiController
{ 
 public string Get(string username,string pwd)
 {
 AuthenticationHelper.AddUserAuth(username, new TimeSpan(TimeSpan.TicksPerMinute * 5));//5分鐘
 string token = AuthenticationHelper.GetToken(username);
 return token;
 } 
}
public class RequestController : ApiController
{
 public string Get()
 {
 return "請求成功";
 } 
}

測試頁面

現(xiàn)在我們編寫測試頁面，這里我們實現(xiàn)三個按鈕，登錄、帶token訪問Api、無token訪問Api。

代碼如下：

<div>
 <script>
 $(document).ready(function () {
  $("#request").click(function () {
  var token = window.localStorage.getItem('token');
  if (token) {

   $.ajax({
   type: "GET",
   url: "http://localhost:50525/api/Request",
   success: function (data) {
    $('#con').append('<div> success：' + data + '</div>');
    console.log(data);
   },
   beforeSend: function (xhr) {
    //向Header頭中添加Authirization
    xhr.setRequestHeader("Authorization", token);
   },
   error: function (XMLHttpRequest, textStatus, errorThrown) {
    $('#con').append('<div> error：' + errorThrown + '</div>');
   }
   });
  }
  else {
   alert("token不存在");
  }
  });
  $("#requestNotoken").click(function () {
  var token = window.localStorage.getItem('token');
  if (token) {

   $.ajax({
   type: "GET",
   url: "http://localhost:50525/api/Request",
   success: function (data) {
    $('#con').append('<div> success：' + data + '</div>');
    console.log(data);
   },
   error: function (XMLHttpRequest, textStatus, errorThrown) {
    $('#con').append('<div> error：' + errorThrown + '</div>');
   }
   });
  }
  else {
   alert("token不存在");
  }
  });
  $("#login").click(function () {
  $.ajax({
   type: "GET",
   url: "http://localhost:50525/api/Login/?username=kiba&pwd=518",
   success: function (data) {
   
   $('#con').append('<div> token：' + data + '</div>');
   console.log(data);
   window.localStorage.setItem('token', data) 
   }
  });
  });
 });
 </script>
 <h1>測試JWT</h1>
 <button id="login">登錄</button>
 <button id="request">帶token訪問Api</button>
 <button id="requestNotoken">無token訪問Api</button>
 <div id="con"></div>
</div>

測試結果如下：