JSON Web令牌与Web Api中的承载令牌

Question

我在用阿斯匹林。网络应用程序

我很困惑。我已经使用JSON网络令牌。我明白这一点。已知经典的 JSON 网络令牌。标头、有效负载、签名、自包含。客户端可以查看索赔数据。

但是不记名令牌是什么呢？不记名令牌也是独立的。我们可以通过不记名令牌访问令牌的数据。客户端看不到索赔数据。

那我们为什么不使用不记名令牌呢？不记名代币不是标准吗？有没有像 JWT 持有者令牌这样的东西？

以及如何在 MVC Web API 中生成自定义持有者令牌 ASP.NET？

Answer 1

JWT 是一种以编码的 JSON 格式包含用户信息的格式。

<代码>但是不记名令牌是什么？

无记名令牌意味着当一方出示无记名令牌时，它就被允许访问资源。我们不验证请求方。拥有无记名令牌就足够了。

有没有类似JWT无记名令牌的东西？

JWT令牌也可以作为不记名令牌服务器。Ex在Azure AD中使用oAuth协议进行身份验证。

那我们为什么不使用无记名令牌？

当您不想盲目信任无记名令牌所在的一方时，您不要使用无记名令牌。在这种情况下，您还想验证请求方。在这种情况下，您可能希望使用SAML令牌。

如何在MVC Web API中生成自定义ASP.NET无记名令牌？

令牌的生成是身份提供者的工作。在我工作的地方，流程就像-Azure AD生成JWT格式的不记名令牌。然后将令牌发送到受Azure ad保护的资源，然后允许访问。

我希望我已经回答了你的疑问。如果你还有任何疑问或问题，请告诉我。如果有人能指出答案中的任何错误（如果有的话），我会非常高兴。