使用ASP.NETCore后端和React前端的Web应用程序中的授权和身份验证？

Question

我有一个 Web 应用程序，其中前端是使用 react.js 和 typescript 构建的，后端是使用 Core 3.1 构建的 ASP.NET 并连接到 SQL Server。SQL Server 用于保存数据，我可以在前端输入数据。

现在，我想实现一个自定义身份验证系统，在其中我可以使用授权保护不同的endpoint。我知道有几种方法可以选择，但我不想使用服务/库，例如，用户可以使用他的谷歌帐户登录。

在我看来，Jwt似乎是一个很好的方法，但我真的不了解整个系统。

这篇文章已经帮助了我很多：使用 React 钩子、.NET Core Web API 和 SQL Server 实现身份验证和授权。阅读本文后，我不明白登录与我的后端如何知道用户已登录（用于保护我的endpoint）之间的关系。

当然，我已经阅读了许多关于ASP.NET核心认证和授权的文章。我了解过不同的服务，例如:

• Auth0（似乎不是一个好主意，因为您可以使用谷歌等登录）
• IdentityUI（看起来不错，我看过一些 youtube 教程，但它们都使用另一个项目结构，其中前端和后端没有分开。所以他们正在使用像 Login.cshtml 这样的剃刀页面，但我不想在后端呈现任何页面，只在前端）

为了在后端对我的控制器进行授权，我计划使用以下内容：

    [Authorize] // to protect endpoint
    [HttpGet]
    public async Task<IEnumerable<>> GetData()
    {
        // some code
    }

但正如我已经说过的：我不知道/不理解我的后端如何知道用户是否登录（以及如何检查）。

有人能给我提供一个适当的教程或文章，解释，如何管理前端和后端的授权和认证？或者可能有人知道，如何将IdentityUI与带有react typescript的前端构建和后端一起使用，后者不应呈现任何页面。

感谢您的关注：）

Answer 1

良好的...关于他们如何工作的详细流程，这里是RFC 6749，这是一个与主题相关的知识的非常全面的集合，最简单的方法通常是wiki页面。

但是为了简化过程，只需了解以下事项：

什么是智威汤逊

Jwt只是由某个算法从公钥/私钥对中生成的字符串（甚至不关心它是如何工作的，只需给它一个密钥对，其他的都由每种语言上的一些lib完成）。这个JWT通常包含指定用户是谁所需的所有信息（大字对吧？但实际上，userId对于简单情况来说已经足够了）。

它包含 3 个不同的部分标头、有效负载和签名，并且字符串确保它不会被中断（或者只是根据需要修改它，验证过程将失败）。

更多细节在这里。

服务器端发生了什么？

最基本的流程是向服务器发送用户、密码，以验证我们是谁以及我们的帐户是否存在。然后，服务器端会从中获取一些必要的信息来生成JWT令牌。生成JWT令牌的服务器通常参考身份提供者。

然后，令牌被发送回客户机，客户机将其保存在某个地方供以后使用。

客户端使用令牌请求其他资源

通常情况下，标识提供者会提供一个. well知道endpoint，其中包含其他资源为验证过程收集的所有必要信息。

现在，客户端使用JWT令牌向这些资源发送http请求。他们使用从＜code＞收集的信息。众所周知要验证的endpoint是JWT有效的。如果是这样，我们就是我们所宣称的自己，那么身份验证过程就成功了。

结束。

在你的具体案例中过于简单的流动想象

React客户端=

React客户端=