问利用JWT实现Asp.net网络应用程序接口的身份认证

EN

你对JWTs的理解很好。但这里有一些更正和一些建议。

身份验证和授权

• JWTs与身份验证无关。只有当您在创建JWT时进行身份验证时，才会命中数据库和散列密码。这与JWTs是正交的，你可以用任何你喜欢的方式来做。我个人喜欢JWT，它也有一个使用JWTs.
• Theoretically，的很好的例子，你可以让用户每年输入一次密码，并让Membership Reboot全年有效。这很可能不是最好的解决方案，如果JWT在任何时候被窃取，用户的资源都会受到损害。

加密

• 令牌可以加密，但不必加密。加密令牌将增加系统的复杂性和服务器读取JWTs所需的计算量。如果您要求在令牌处于静止状态时没有人能够读取它，那么这一点可能很重要。
• 令牌始终由颁发者进行加密签名，以确保其完整性。这意味着它们不能被用户或第三方篡改。

索赔

你的JWTs可以包含你想要的任何信息。用户名、生日、电子邮件等。您可以使用基于声明的授权来执行此操作。然后，您只需告诉您的提供者使用这些来自claims原则的声明来创建JWT。下面的代码来自Membership Reboot示例，它向您展示了如何做到这一点。

public override Task GrantResourceOwnerCredentials(OAuthGrantResourceOwnerCredentialsContext context)
{
    var svc = context.OwinContext.Environment.GetUserAccountService<UserAccount>();
    UserAccount user;
    if (svc.Authenticate("users", context.UserName, context.Password, out user))
    {
        var claims = user.GetAllClaims();

        var id = new System.Security.Claims.ClaimsIdentity(claims, "MembershipReboot");
        context.Validated(id);
    }

    return base.GrantResourceOwnerCredentials(context);
}

这使您能够精确地控制谁正在访问您的资源，而不会影响到您的处理器密集型身份验证服务。

实现

实现令牌提供程序的一种非常简单的方法是在WebAPI项目中使用Microsoft's OAuth Authorization Server。它为您提供了为您的应用程序接口创建OAuth服务器所需的基础知识。

你也可以看看Thinktecture的Identity Server，它可以让你更容易地控制用户。例如，您可以使用identity Server轻松地实现刷新令牌，其中用户只需进行一次身份验证，然后在一段时间内(可能是一个月)，他们可以继续从Identity server获取短期的JWTs。刷新令牌是好的，因为它们可以被撤销，而JWT不能。此解决方案的缺点是，您需要设置另一个或两个服务器来托管身份服务。

为了处理你的最后一点，入侵者不应该能够复制最后一个请求来访问资源，你必须至少使用SSL。这将保护传输中的令牌。

如果您要保护极其敏感的内容，则应将令牌的生存期保持在非常短的时间窗口内。如果你在保护一些不太敏感的东西，你可以让它的生命周期更长。令牌有效的时间越长，如果用户的机器被攻破，攻击者必须假冒经过身份验证的用户的时间窗口就越长。

我写了一篇关于配置OWIN授权服务器以颁发签名的JSON Web令牌而不是默认令牌的详细博客文章。因此，资源服务器(受众)可以向授权服务器注册，然后它们可以使用由令牌颁发者方颁发的JWT令牌，而不需要在各方之间统一machineKey值。你可以阅读这篇文章的JSON Web Token in ASP.NET Web API 2 using Owin

对于正式的概念。身份验证是验证用户身份的过程，而授权是验证用户有权访问哪些内容的过程。

让我们看看现实生活中的例子

想象一下，你的邻居让你在他不在的时候给他的宠物喂食。在本例中，您有权访问厨房并打开存储宠物食品的橱柜。然而，你不能进入你邻居的卧室，因为他没有明确允许你这样做。即使你有进入房子的权利(身份验证)，你的邻居只允许你进入某些区域(授权)。

有关更详细的信息，以及对于喜欢更多的用户，请逐步实现，了解如何在Web API中实际使用JSON WEB Token。这是必须阅读的帖子Secure WebAPI Using JSON WEB TOKEN

更新为使用: System.IdentityModel.Tokens.Jwt -Version 5.1.4