URL编码后，数字1随机附加到我的JWT秘密的末尾

Question

我到处寻找解决我问题的办法，但似乎找不到。

我有一个类，它利用方法创建JSON Web令牌。我创建的web令牌需要符合以下条件（请注意，我的机密最右侧没有数字1）：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhcHBrZXkiOiIxMjMtNDU2LTc4OS0wIiwicmVzb3VyY2UiOiJnZXRfZ2VvY29kZSJ9.xGLb92d6yVLqLf5TnrahMCxm-OGTHmXiXLvnRUqLWYM

我生成的令牌与上面的令牌匹配，除了数字1随机附加在我的令牌的最右端：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhcHBrZXkiOiIxMjMtNDU2LTc4OS0wIiwicmVzb3VyY2UiOiJnZXRfZ2VvY29kZSJ9.xGLb92d6yVLqLf5TnrahMCxm-OGTHmXiXLvnRUqLWYM1

如您所见，这是JWT中包含秘密的部分。让我演示如何生成和加密令牌，以便您可以帮助诊断问题。我将向您展示整个类，然后引导您完成方法。

以下是整个课程：

using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Threading.Tasks;
using Newtonsoft.Json;
using System.Security.Cryptography;

namespace Project.JWT
{
    public class Token
    {

        public string CreateToken(string resource, string appkey, string secret, string algorithm)
        {
            if (algorithm != "HS256")
                return "Algorithm not supported";

            JwtPayload payload = new JwtPayload
            {
                appkey = appkey,
                resource = resource
            };

            return EncodeToken(payload, secret);

        }

        public static string EncodeToken(JwtPayload jwtPayload, string secret)
        {
            const string algorithm = "HS256";

            var header = new Header
            {
                typ = "JWT",
                alg = algorithm
            };

            var jwt = Base64Encode(JsonConvert.SerializeObject(header)) + "." + Base64Encode(JsonConvert.SerializeObject(jwtPayload));

            jwt += "." + Sign(jwt, secret);

            return jwt;
        }


        public static string Base64Encode(dynamic obj)
        {
            Type strType = obj.GetType();

            var base64EncodedValue = Convert.ToBase64String(strType.Name.ToLower() == "string" ? Encoding.UTF8.GetBytes(obj) : obj);
            return base64EncodedValue;
        }


        private static string Sign(string str, string key)
        {


            byte[] signature;

            using (var crypto = new HMACSHA256(Encoding.UTF8.GetBytes(key)))
            {
                signature = crypto.ComputeHash(Encoding.UTF8.GetBytes(str));
            }

            return System.Web.HttpServerUtility.UrlTokenEncode(signature);

        }

    }


    public class Header
    {
        public string alg { get; set; }
        public string typ { get; set; }
    }

    public class JwtPayload
    {
        public string appkey { get; set; }
        public string resource { get; set; }
    }


}

首先，向CreateToken方法传递凭据以创建负载。然后调用EncodeToken方法，该方法将有效负载和机密作为参数。请记住，我的秘密是一个硬编码字符串，它在应用程序的整个生命周期中都不会改变；所以我知道这不是随机生成数字1。

第39行，标头和有效负载被转换为一个base 64字符串，并由一个点连接在一起，该点完美地生成了我的令牌的前两部分：

eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJhcHBrZXkiOiIxMjMtNDU2LTc4OS0wIiwicmVzb3VyY2UiOiJnZXRfZ2VvY29kZSJ9

然后，我在第41行调用Sign方法，该方法使用SHA256算法请求对我的令牌进行签名。

Sign方法接受组合的标头和有效负载作为str，然后将秘密作为密钥传递。

在第62行，我开始使用我的自定义密钥创建签名，它是“测试秘密”。

然后我在第67行对签名进行URL编码，就在返回之前。当我返回它时，第41行将令牌的三个部分组合在一起，从而给我留下了一个完美的JWT......除了秘密最右边的数字“1”。

请帮忙。

Answer 1

这与HttpServerUtility的方式有关。UrlTokenEncode工作，emphasis mine：

使用基本64位数字将字节数组编码为其等效的字符串表示形式，这可用于在URL上传输

您会知道，根据其长度，Base64字符串将被附加到末尾的=填充。=不被视为URL安全，因此被替换为表示计数的整数，在本例中为1。

您可以通过调试来测试并替换下面的行...

return System.Web.HttpServerUtility.UrlTokenEncode(signature);

...用这个。。。

return Convert.ToBase64String(signature);

...并检查返回值。

您将看到它以一个HttpServerUtility结束。URLTokencode将其替换为1。