C# Web API中如何实现JWT身份验证？

Question

在C# Web API中实现JWT身份验证时，一个常见的技术问题是：**如何在ASP.NET Core中正确配置JWT认证中间件并实现令牌的颁发与验证？** 开发者常遇到如令牌无法正确生成、身份验证失败、授权特性不生效等问题。需要了解如何使用`Microsoft.AspNetCore.Authentication.JwtBearer`包，配置认证服务，构建包含用户声明的JWT令牌，并在请求头中正确传递令牌。此外，还需掌握如何在控制器或Action上使用`[Authorize]`特性，确保只有合法请求才能访问受保护资源。掌握这些内容对于构建安全、可靠的Web API至关重要。

Answer 1

在ASP.NET Core中正确配置JWT认证中间件并实现令牌的颁发与验证

在构建现代Web API时，JWT（JSON Web Token）已成为一种广泛采用的身份验证机制。ASP.NET Core 提供了对JWT的良好支持，但开发者在实际使用中常遇到诸如令牌无法生成、身份验证失败、[Authorize]特性不生效等问题。本文将从基础配置到高级用法，逐步讲解如何在ASP.NET Core中正确配置JWT认证中间件。

1. 安装与引入依赖包

首先，确保项目中已安装以下NuGet包：

• Microsoft.AspNetCore.Authentication.JwtBearer
• System.IdentityModel.Tokens.Jwt

可通过NuGet Package Manager或CLI命令安装：

dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer

2. 配置JWT服务

在Program.cs或Startup.cs中注册JWT认证服务。示例如下：

var builder = WebApplication.CreateBuilder(args);

// 添加JWT认证服务
builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(options =>
{
    options.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = true,
        ValidateAudience = true,
        ValidateLifetime = true,
        ValidateIssuerSigningKey = true,

        ValidIssuer = builder.Configuration["Jwt:Issuer"],
        ValidAudience = builder.Configuration["Jwt:Audience"],
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
    };
});

builder.Services.AddAuthorization();

var app = builder.Build();

app.UseAuthentication();
app.UseAuthorization();

3. 生成JWT令牌

创建一个方法用于生成JWT令牌，通常包含用户声明（Claims）：

public string GenerateJwtToken(string userId, string username)
{
    var claims = new[]
    {
        new Claim(JwtRegisteredClaimNames.Sub, userId),
        new Claim(ClaimTypes.Name, username),
        new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
    };

    var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_configuration["Jwt:Key"]));
    var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

    var token = new JwtSecurityToken(
        issuer: _configuration["Jwt:Issuer"],
        audience: _configuration["Jwt:Audience"],
        claims: claims,
        expires: DateTime.Now.AddMinutes(30),
        signingCredentials: creds);

    return new JwtSecurityTokenHandler().WriteToken(token);
}

4. 在控制器中使用[Authorize]特性

通过在控制器或Action上添加[Authorize]特性，可以限制对资源的访问：

[ApiController]
[Route("[controller]")]
public class SecureController : ControllerBase
{
    [HttpGet]
    [Authorize]
    public IActionResult Get()
    {
        return Ok(new { message = "You are authenticated!" });
    }
}

5. 传递JWT令牌

客户端在请求受保护资源时，需在HTTP请求头中携带Authorization字段，格式为：

Authorization: Bearer <your-jwt-token>

6. 常见问题与排查

以下是开发者常遇到的几个问题及解决方法：

问题现象	可能原因	解决方案
令牌无法生成	签名密钥配置错误、缺少必要声明	检查密钥长度、是否包含必要字段如Issuer、Audience
身份验证失败	令牌格式错误、过期、签名不匹配	使用工具如JWT.io解码验证，检查中间件配置是否匹配
Authorize特性不生效	未启用认证/授权中间件	确认调用了app.UseAuthentication()和app.UseAuthorization()

7. 安全增强建议

为了提升安全性，建议采取以下措施：

• 使用HTTPS传输令牌
• 定期更换签名密钥
• 限制令牌生命周期（exp）
• 结合刷新令牌机制实现更安全的会话管理

8. 流程图：JWT认证流程

graph TD A[客户端请求登录] --> B(验证用户凭证) B --> C{凭证正确?} C -- 是 --> D[生成JWT令牌] D --> E[返回令牌给客户端] E --> F[客户端携带令牌访问API] F --> G[中间件验证令牌] G --> H{令牌有效?} H -- 是 --> I[执行受保护资源] H -- 否 --> J[返回401未授权]