使用 System.IdentityModel.Tokens.JWT 解码和验证 JWT 令牌

Question

我一直在使用JWT库解码一个Json Web令牌，并希望切换到微软的官方JWT实现system . identity model . tokens . jwt

留档非常稀疏，所以我很难弄清楚如何完成我一直在使用JWT库所做的事情。对于JWT库，有一个Decode方法，它采用Bas64编码的JWT并将其转换为JSON，然后可以反序列化。我想使用System. IdtyModel. Tokens. Jwt做类似的事情，但是经过大量的挖掘，无法弄清楚如何做到这一点。

值得一提的是，我正在从cookie中读取JWT令牌，以便与谷歌的身份框架一起使用。

任何帮助都将不胜感激。

Answer 1

我在System.IdentityModel.Tokens和System.IdentityModel.Tokens.Jwt之间遇到了版本问题，这是Jwt版本5.0.0.0之后的已知问题。因此，我下载了最新版本的Microsoft.IdentityModel.Tokens（注意Microsoft），并且一切正常。这是我制作的一个很好的片段，用于验证和解码自定义生成的 JWT 令牌并解析其 JSON 内容。

using System.Collections.Generic;
using System.Linq;
using Microsoft.IdentityModel.Tokens;
using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;

public static void Main()
{
    var key = "qwertyuiopasdfghjklzxcvbnm123456";
    var securityKey = new SymmetricSecurityKey(System.Text.Encoding.UTF8.GetBytes(key));

    string token = "eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpc3MiOiJPbmxpbmUgSldUIEJ1aWxkZXIiLCJpYXQiOjE2NDA0MDY1MjIsImV4cCI6MTY3MTk0MjUyMiwiYXVkIjoid3d3LmV4YW1wbGUuY29tIiwic3ViIjoianJvY2tldEBleGFtcGxlLmNvbSIsImZvbyI6ImJhciJ9.QqcxZWEUt5YLraLRg5550Ls7aMVqm7aCUcbU7uB1qgY";

    TokenValidationParameters tokenValidationParameters = new TokenValidationParameters
    {
        IssuerSigningKey = securityKey,
        RequireExpirationTime = true,
        ValidateLifetime = true,
        ValidateAudience = true,
        ValidateIssuer = true,
        ValidIssuer = "Online JWT Builder",
        ValidAudience = "www.example.com"
    };

    if (ValidateToken(token, tokenValidationParameters))
    {
        var TokenInfo = new Dictionary<string, string>();
        var handler = new JwtSecurityTokenHandler();
        var jwtSecurityToken = handler.ReadJwtToken(token);
        var claims = jwtSecurityToken.Claims.ToList();

        foreach (var claim in claims)
        {
            TokenInfo.Add(claim.Type, claim.Value);
        }

        string sub = jwtSecurityToken.Subject;
        string iss = jwtSecurityToken.Issuer;
        DateTime iat = jwtSecurityToken.IssuedAt;
        List<string> audiences = new List<string>(jwtSecurityToken.Audiences);
        DateTime exp = jwtSecurityToken.ValidTo;
        string bar;
        bool ifBar = TokenInfo.TryGetValue("foo", out bar);
        Console.WriteLine("Subject: " + sub);
        Console.WriteLine("Issuer: " + iss);
        Console.WriteLine("Issued At: " + iat);
        foreach (var member in audiences)
        {
            Console.WriteLine("Audience: " + member);
        }
        Console.WriteLine("Expiration: " + exp);
        Console.WriteLine("foo: " + bar);
    }
    Console.ReadLine();
}

private static bool ValidateToken(string token, TokenValidationParameters tvp)
{
    try
    {
        var handler = new JwtSecurityTokenHandler();
        SecurityToken securityToken;
        ClaimsPrincipal principal = handler.ValidateToken(token, tvp, out securityToken);
        return true;
    }
    catch (Exception ex)
    {
        Console.WriteLine(ex.Message);
        return false;
    }
}

输出

Subject: [e-mail]
Issuer: Online JWT Builder
Issued At: 12/25/2022 4:28:42 AM
Audience: www.example.com
Expiration: 12/25/2022 4:28:42 AM
foo: bar

Answer 2

我只是想知道为什么要使用一些库来进行JWT令牌解码和验证。

可以使用以下伪代码创建编码的JWT令牌

var headers = base64URLencode(myHeaders);
var claims = base64URLencode(myClaims);
var payload = header + "." + claims;

var signature = base64URLencode(HMACSHA256(payload, secret));

var encodedJWT = payload + "." + signature;

没有任何特定的库也很容易做到。使用以下代码：

using System;
using System.Text;
using System.Security.Cryptography;

public class Program
{   
    // More info: https://stormpath.com/blog/jwt-the-right-way/
    public static void Main()
    {           
        var header = "{\"typ\":\"JWT\",\"alg\":\"HS256\"}";
        var claims = "{\"sub\":\"1047986\",\"email\":\"[e-mail]\",\"given_name\":\"John\",\"family_name\":\"Doe\",\"primarysid\":\"b521a2af99bfdc65e04010ac1d046ff5\",\"iss\":\"http://example.com\",\"aud\":\"myapp\",\"exp\":1460555281,\"nbf\":1457963281}";

        var b64header = Convert.ToBase64String(Encoding.UTF8.GetBytes(header))
            .Replace('+', '-')
            .Replace('/', '_')
            .Replace("=", "");
        var b64claims = Convert.ToBase64String(Encoding.UTF8.GetBytes(claims))
            .Replace('+', '-')
            .Replace('/', '_')
            .Replace("=", "");

        var payload = b64header + "." + b64claims;
        Console.WriteLine("JWT without sig:    " + payload);

        byte[] key = Convert.FromBase64String("mPorwQB8kMDNQeeYO35KOrMMFn6rFVmbIohBphJPnp4=");
        byte[] message = Encoding.UTF8.GetBytes(payload);

        string sig = Convert.ToBase64String(HashHMAC(key, message))
            .Replace('+', '-')
            .Replace('/', '_')
            .Replace("=", "");

        Console.WriteLine("JWT with signature: " + payload + "." + sig);        
    }

    private static byte[] HashHMAC(byte[] key, byte[] message)
    {
        var hash = new HMACSHA256(key);
        return hash.ComputeHash(message);
    }
}

令牌解码是上面代码的反向版本。要验证签名，您需要将签名部分与计算的签名进行相同的比较。

更新:对于那些正在努力如何做base64 urlsafe编码/解码的人，请参见另一个SO问题，以及wiki和RFC

Answer 3

在包中，有一个名为JwtSecurityTokenHandler的类，它派生自System.IdentityModel.Tokens.SecurityTokenHandler。在 WIF 中，这是用于反序列化和序列化安全令牌的核心类。

该类有一个 ReadToken（String） 方法，该方法将采用 base64 编码的 JWT 字符串并返回表示 JWT 的安全令牌。

SecurityTokenHandler还有一个ValidateToken（SecurityToken）方法，它接受您的SecurityToken并创建一个ReadOnly集合

< code > JwtSecurityTokenHandler 为< code>ValidateToken定义了一些额外的重载，特别是，它有一个< code > claims principal validate token(JwtSecurityToken，TokenValidationParameters)重载。< code > TokenValidationParameters 参数允许您指定令牌签名证书(作为< code>X509SecurityTokens的列表)。它还有一个重载，该重载将JWT作为< code>string而不是< code>SecurityToken。

执行此操作的代码相当复杂，但可以在Global.asax中找到。名为“ADAL-Native App to REST service-Authentication with ACS via Browser Dialog”的开发人员示例中的cx代码（TokenValidationHandler类），位于

http://code.msdn.microsoft.com/AAL-Native-App-to-REST-de57f2cc

或者，JwtSecurityToken类具有不在SecurityToken类基础上的其他方法，例如 property，它不通过 json。这取决于您的场景，哪种方法最合适。<="">

SecurityTokenHandler类的一般（即非JWT特定）文档位于

http://msdn.microsoft.com/en-us/library/system.identitymodel.tokens.securitytokenhandler.aspx

根据您的应用程序，您可以将JWT处理程序配置到WIF管道中，就像任何其他处理程序一样。

在不同类型的应用中使用了3个样本

http://code.msdn.microsoft.com/site/search?f[0].类型=搜索文本

很可能，其中一个会适合你的需求，或者至少可以适应它们。