如何使用JWT令牌进行授权

Question

我有一个Web api终端，它给我JWT令牌。它不是一个完全授权的服务器。它只是可以生成一个JWT令牌。

现在我有另一个用 aspnet 核心编写的 Web 应用程序。其中在启动中.cs我添加了以下行，以便我可以使用收到的 JWT 令牌进行授权

            services.AddAuthentication(options =>
        {
            options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
            options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;

        }).AddJwtBearer(configureOptions =>
        {...});

我也有一个登录表单(在web应用程序中)，用户输入用户名和密码，我发送到web api并获得令牌。为了保护web应用程序中的任何控制器，我只使用了[Authorize]属性。

在令牌过期之前，一切正常。令牌的生存期很短，但它确实带有刷新令牌。

我的问题是，我如何检测令牌（来自 web api）现已过期，我需要使用刷新令牌获取一个新令牌。我知道在javascript世界中，我可以拦截http请求并使用刷新令牌更新令牌。

但是我如何在aspnet核心html" target="_blank">客户端应用程序中做到这一点呢？？

（注意：我不想使用任何身份验证服务器，如IdtyServer4等）

提前感谢！！

Answer 1

你完全可以实现你想要的：

services
    .AddAuthentication()
    .AddJwtBearer("Firebase", options =>
    {
        options.Authority = "https://securetoken.google.com/my-firebase-project"
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuer = "my-firebase-project"
            ValidateAudience = true,
            ValidAudience = "my-firebase-project"
            ValidateLifetime = true
        };
    })
    .AddJwtBearer("Custom", options =>
    {
        // Configuration for your custom
        // JWT tokens here
    });

services
    .AddAuthorization(options =>
    {
        options.DefaultPolicy = new AuthorizationPolicyBuilder()
            .RequireAuthenticatedUser()
            .AddAuthenticationSchemes("Firebase", "Custom")
            .Build();
    });

让我们来看看你的代码和那个代码之间的区别。

AddAuthentication没有参数如果您设置了默认的身份验证方案，那么对于每个请求，身份验证中间件都会尝试运行与默认身份验证方案相关联的身份验证处理程序。既然我们现在有两个可行的身份验证方案，那么运行其中一个是没有意义的。

使用AddJwtBearer的另一个重载每个添加身份验证的AddXXX方法都有几个重载:

一个使用与身份验证方法相关联的默认身份验证方案的地方，如您在这里看到的Cookie身份验证一个除了选项的配置之外，还传递身份验证方案名称的地方，正如在这个重载上一样现在，因为您使用了两次相同的身份验证方法，但是身份验证方案必须是唯一的，你需要使用第二个重载。

更新默认策略由于请求不再自动进行身份验证，在某些操作上添加[Authorize]属性将导致请求被拒绝，并发出HTTP 401。

因为这不是我们想要的，因为我们想给身份验证处理程序一个对请求进行身份验证的机会，所以我们更改了授权系统的默认策略，指出应该尝试Firebase和Custom身份验证方案来对请求进行身份验证。

这并不妨碍你对某些行为有更多的限制；[Authorize]属性具有AuthenticationSchemes属性，该属性允许您覆盖哪些身份验证方案是有效的。

如果您有更复杂的方案，则可以使用基于策略的授权。我发现官方文档很棒。

假设某些操作仅适用于 Firebase 发行的 JWT 令牌，并且必须具有具有特定值的声明;你可以这样做：

services
    .AddAuthorization(options =>
    {
        options.DefaultPolicy = new AuthorizationPolicyBuilder()
            .RequireAuthenticatedUser()
            .AddAuthenticationSchemes("Firebase", "Custom")
            .Build();

        options.AddPolicy("FirebaseAdministrators", new AuthorizationPolicyBuilder()
            .RequireAuthenticatedUser()
            .AddAuthenticationSchemes("Firebase")
            .RequireClaim("role", "admin")
            .Build());
    });

然后，您可以在某些操作上使用[授权（策略="Firebase管理员"）]。