在BEARER授权头中嵌入用户名可以吗？

Question

我有一个使用Web API创建安全令牌的APIendpoint。因此，用户在基本授权头中传递username:password。验证用户名/密码并返回Json Web令牌。

现在，我所有其他执行GET或POST的endpoint都将作为BEARER类型在Authorization头中传递JWT。我知道这通常是BEARER（jwt），但传递BEARER用户名（jwt）也可以吗

我想传递username：（jwt）的原因是，当我验证jwt时，我还想从jwt声明中提取用户名，并将其与auth标头中传递的用户名进行比较，作为额外的检查。

这种方法听起来不错吗？还是我应该忘记完全检查用户名，因为它不会增加任何额外的安全性？

Answer 1

您可以在子索赔中发送用户名/用户ID。

令牌内的声明已签名。用户名/用户ID（sub）已签名，无需验证用户名/用户ID是否正常/有效。

在您的情况下，持有者用户名：令牌

用户名（无签名，可以更改，无法验证）：

令牌（声明/标头/签名-所有内容都经过签名/验证）

令牌外部的用户名/用户 ID 不会增加额外的安全性。

系统标识模型标记Jwt.Jwt注册索赔名称。Sub以避免在索赔名称中写入“Sub”。此命名空间位于System.IdentityModel.Tokens中。Jwt nuget包。

Answer 2

没有什么可以阻止您将用户名添加到令牌之外，但是您可以根据需要向令牌添加任意多个声明，并且可以包括用户名。可以通过IHttpContextAccessor从客户端应用程序或Web API检索这些声明。

然后，在客户端/API 中，您可以执行以下操作来检索声明：

List<Claim> claims = _context.Request.HttpContext.User.Claims.ToList(); 

其中_context的类型为 IHttpContextAccessor。

这将获取编码令牌的 Subject 属性，该属性是一个 ClaimsIdentity，由创建令牌时添加的声明列表组成。

您可以在令牌之外添加用户名，但是您需要的所有内容都可以更安全地存储，并在客户端/API对不记名令牌进行身份验证之后从令牌本身检索。

此外，当访问客户端/API中的其他类时，可以使用声明来添加额外的授权。

所有其他声明类型（如 sub、iat 等）都是在客户端/API 端进行身份验证后令牌中的属性。在令牌创建过程中需要做的是使用 SecurityTokenDescriptor 创建如下所示的令牌描述符（缩写）：

SecurityTokenDescriptor descriptor = new SecurityTokenDescriptor
{
    Subject = new ClaimsIdentity(new[] {
        new Claim(ClaimTypes.Name, username),
        new Claim(JwtRegisteredClaimNames.Sub, username)}),
    Expires = DateTime.Now.AddMinutes(expiration_in_minutes),
    SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key),
      SecurityAlgorithms.HmacSha256Signature)
};

您需要确保名称空间在您的源代码中:

using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;

当我运行这个来生成令牌，然后在get中用https://jwt.io/解码令牌时:

{
  "unique_name": "[e-mail]",
  "sub": "[e-mail]",
  "nbf": 1622285741,
  "exp": 1622287503,
  "iat": 1622285741
}

使用JwtRegisteredClaimNames添加声明。Sub公开令牌中的sub。

试试看它是否有效。