WEB API身份验证/token验证

详情可参考：

为什么使用JWT？

JWT 全称 JSON Web Tokens ，是一种规范化的 token。是对 token 这一技术提出一套规范. 随着技术的发展，分布式web应用的普及，通过session管理用户登录状态成本越来越高，因此慢慢发展成为token的方式做登录身份校验，然后通过token去取redis中的缓存的用户信息，随着之后jwt的出现，校验方式更加简单便捷化，无需通过redis缓存，而是直接根据token取出保存的用户信息，以及对token可用性校验，单点登录更为简单。这里还有一个在线的的JWT生成器

 

 什么时候你应该用JSON Web Tokens

下列场景中使用JSON Web Token是很有用的：

• Authorization (授权) : 这是使用JWT的最常见场景。一旦用户登录，后续每个请求都将包含JWT，允许用户访问该令牌允许的路由、服务和资源。单点登录是现在广泛使用的JWT的一个特性，因为它的开销很小，并且可以轻松地跨域使用。
• Information Exchange (信息交换) : 对于安全的在各方之间传输信息而言，JSON Web Tokens无疑是一种很好的方式。因为JWTs可以被签名，例如，用公钥/私钥对，你可以确定发送人就是它们所说的那个人。另外，由于签名是使用头和有效负载计算的，您还可以验证内容没有被篡改

JSON Web Token的结构是什么样的

JSON Web Token由三部分组成，它们之间用圆点(.)连接。这三部分分别是：

• Header
• Payload
• Signature

因此，一个典型的JWT看起来是这个样子的：

xxxxx.yyyyy.zzzzz

　　header典型的由两部分组成：token的类型（“JWT”）和算法名称（比如：HMAC SHA256或者RSA等等）。用Base64对这个JSON编码就得到JWT的第一部分

　　JWT的第二部分是payload，它包含声明（要求）。声明是关于实体(通常是用户)和其他数据的声明。声明有三种类型: registered, public 和 private。注意，不要在JWT的payload或header中放置敏感信息，除非它们是加密的。

　　Signature 为了得到签名部分，你必须有编码过的header、编码过的payload、一个秘钥，签名算法是header中指定的那个，然对它们签名即可。

　　　　例如：

　　　　HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

　　　　签名是用于验证消息在传递过程中有没有被更改，并且，对于使用私钥签名的token，它还可以验证JWT的发送方是否为它所称的发送方。

使用JWT

1、我们打开Nuget，搜索JWT 安装。

2、封装一个jwt帮助类

public class JwtHelp
    {
        //私钥  web.config中配置
        //"GQDstcKsx0NHjPOuXOYg5MbeJ1XT0uFiwDVvVBrk";
        private static string secret = ConfigurationManager.AppSettings["Secret"].ToString();

        /// 

        /// 生成JwtToken
        /// 
        /// 不敏感的用户数据
        /// 
        public static string SetJwtEncode(Dictionary<string, object> payload)
        {
            //格式如下
            //var payload = new Dictionary
            //{
            //    { "username","admin" },
            //    { "pwd", "claim2-value" }
            //};

            IJwtAlgorithm algorithm = new HMACSHA256Algorithm();
            IJsonSerializer serializer = new JsonNetSerializer();
            IBase64UrlEncoder urlEncoder = new JwtBase64UrlEncoder();
            IJwtEncoder encoder = new JwtEncoder(algorithm, serializer, urlEncoder);

            var token = encoder.Encode(payload, secret);
            return token;
        }

        /// 

        /// 根据jwtToken  获取实体
        /// 
        /// jwtToken
        /// 
        public static dynamic GetJwtDecode(string token)
        {
            try
            {
                IJsonSerializer serializer = new JsonNetSerializer();
                IDateTimeProvider provider = new UtcDateTimeProvider();
                IJwtValidator validator = new JwtValidator(serializer, provider);
                IBase64UrlEncoder urlEncoder = new JwtBase64UrlEncoder();
                IJwtAlgorithm algorithm = new HMACSHA256Algorithm();
                IJwtDecoder decoder = new JwtDecoder(serializer, validator, urlEncoder, algorithm);

                token = token.Replace("Bearer ", "");
                var userInfo = decoder.DecodeToObject<dynamic>(token, secret, verify: true);//token为之前生成的字符串
                return userInfo;
            }
            catch (TokenExpiredException)
            {
                Console.WriteLine("Token has expired");  //过期
                return "";
            }
            catch (SignatureVerificationException)
            {
                Console.WriteLine("Token has invalid signature");  //签名没有验证
                return "";
            }


            //var json = JwtBuilder.Create()
            //                     .WithAlgorithm(new HMACSHA256Algorithm()) // symmetric
            //                     .WithSecret(secret)
            //                     .MustVerifySignature()
            //                     .Decode(token);

        }
    }

3、编写一个继承AuthorizeAttribute实现类

public class TokenAuthAttribute : AuthorizeAttribute
    {
        /// 

        /// 验证入口
        /// 
        /// 

        public override void OnAuthorization(HttpActionContext actionContext)
        {
            //前端请求api时会将token存放在名为"AccessToken"的请求头中
            var content = actionContext.Request.Properties["MS_HttpContext"] as HttpContextBase;
            var token = content.Request.Headers["AccessToken"]; //自己加入在头部的名称

            if (!string.IsNullOrEmpty(token?.ToString()))
            {
               
                dynamic userinfo = JwtHelp.GetJwtDecode(token);
                if (userinfo != null)
                {
                    base.IsAuthorized(actionContext); 
                }
                else
                    HandleUnauthorizedRequest(actionContext);
            }
            else
            {
                var attributes = actionContext.ActionDescriptor.GetCustomAttributes().OfType();
                bool isAnonymous = attributes.Any(a => a is AllowAnonymousAttribute);
                if (isAnonymous) base.OnAuthorization(actionContext);
                else HandleUnauthorizedRequest(actionContext);
            }
        }

        /// 

        /// 重写HandleUnauthorizedRequest
        /// 
        /// 
        protected override void HandleUnauthorizedRequest(HttpActionContext filterContext)
        {
            base.HandleUnauthorizedRequest(filterContext);

            var response = filterContext.Response = filterContext.Response ?? new HttpResponseMessage();
            //状态码401改为其他状态码来避免被重定向。最合理的是改为403，表示服务器拒绝。
            response.StatusCode = HttpStatusCode.Forbidden;
            var content = new
            {
                success = false,
                errs = new[] { "服务端拒绝访问：没有权限" }
            };
            response.Content = new StringContent(Json.Encode(content), Encoding.UTF8, "application/json");
        }

    }

4、创建一个控制器

public class JwtController : ApiController
{
     public void CreateToken()
    {

　　　　　　IDateTimeProvider provider = new UtcDateTimeProvider();
　　　　　　var now = provider.GetNow();
　　　　　　var expTime = now.AddDays(30);
　　　　　　var secondsSinceEpoch = Math.Round((expTime - now).TotalSeconds);

// 生成 token
            var payload = new Dictionary<string, object>
                {
                    { "Id",user.Id },
                    { "Account",user.Account },
                    { "Name",user.NickName },
                    { "AccountType",user.AccountType },
                    { "exptime",secondsSinceEpoch+1 }//token过期时间
                };
            //返回登录结果、用户信息、用户验证票据信息
            var AccessToken = JwtHelp.SetJwtEncode(payload);
    }
    
    [TokenAuth]//只有加上这个才会进行token验证，通常是放在类上面的，我放在这里是为了测试使用。请求该方法如果请求头不包含token，则会提示服务器拒绝访问
    public string Test()
    {
         return "来了";
    }
}