ทำงานจากคำตอบที่ยอดเยี่ยมของ Matt Dekreyฉันได้สร้างตัวอย่างการพิสูจน์ตัวตนที่ใช้โทเค็นอย่างสมบูรณ์โดยทำงานกับ ASP.NET Core (1.0.1) คุณสามารถค้นหาโค้ดเต็มรูปแบบในพื้นที่เก็บข้อมูลนี้บน GitHub (สาขาทางเลือกสำหรับ1.0.0-RC1 , beta8 , beta7 ) แต่ในช่วงสั้น ๆ , ขั้นตอนที่สำคัญ ได้แก่ :
สร้างรหัสสำหรับแอปพลิเคชันของคุณ
ในตัวอย่างของฉันฉันสร้างคีย์สุ่มทุกครั้งที่แอปเริ่มต้นคุณจะต้องสร้างและเก็บรหัสไว้ที่ใดที่หนึ่งและมอบให้แอปพลิเคชันของคุณ ดูไฟล์นี้สำหรับวิธีที่ฉันสร้างคีย์สุ่มและวิธีที่คุณอาจนำเข้าจากไฟล์ . json ตามที่แนะนำในความคิดเห็นโดย @kspearrin API การป้องกันข้อมูลดูเหมือนจะเป็นตัวเลือกที่เหมาะสมที่สุดสำหรับการจัดการคีย์ "ถูกต้อง" แต่ฉันยังไม่ได้ผลถ้าเป็นไปได้ กรุณาส่งคำขอดึงถ้าคุณทำมันออกมา!
Startup.cs - กำหนดค่าบริการ
ที่นี่เราต้องโหลดคีย์ส่วนตัวเพื่อให้โทเค็นของเราลงชื่อด้วยซึ่งเราจะใช้ในการตรวจสอบโทเค็นตามที่ปรากฏ เรากำลังจัดเก็บคีย์ไว้ในตัวแปรระดับชั้นเรียนkeyซึ่งเราจะนำกลับมาใช้ใหม่ในวิธีการกำหนดค่าด้านล่าง TokenAuthOptionsเป็นคลาสที่เรียบง่ายซึ่งมีเอกลักษณ์ในการเซ็นชื่อผู้ชมและผู้ออกหลักทรัพย์ที่เราต้องการใน TokenController เพื่อสร้างกุญแจของเรา
// Replace this with some sort of loading from config / file.
RSAParameters keyParams = RSAKeyUtils.GetRandomKey();
// Create the key, and a set of token options to record signing credentials
// using that key, along with the other parameters we will need in the
// token controlller.
key = new RsaSecurityKey(keyParams);
tokenOptions = new TokenAuthOptions()
{
Audience = TokenAudience,
Issuer = TokenIssuer,
SigningCredentials = new SigningCredentials(key, SecurityAlgorithms.Sha256Digest)
};
// Save the token options into an instance so they're accessible to the
// controller.
services.AddSingleton<TokenAuthOptions>(tokenOptions);
// Enable the use of an [Authorize("Bearer")] attribute on methods and
// classes to protect.
services.AddAuthorization(auth =>
{
auth.AddPolicy("Bearer", new AuthorizationPolicyBuilder()
.AddAuthenticationSchemes(JwtBearerDefaults.AuthenticationScheme)
.RequireAuthenticatedUser().Build());
});
นอกจากนี้เรายังได้กำหนดนโยบายการอนุญาตเพื่อให้เราสามารถใช้[Authorize("Bearer")]กับอุปกรณ์ปลายทางและชั้นเรียนที่เราต้องการปกป้อง
Startup.cs - กำหนดค่า
ที่นี่เราจำเป็นต้องกำหนดค่า JwtBearerAuthentication:
app.UseJwtBearerAuthentication(new JwtBearerOptions {
TokenValidationParameters = new TokenValidationParameters {
IssuerSigningKey = key,
ValidAudience = tokenOptions.Audience,
ValidIssuer = tokenOptions.Issuer,
// When receiving a token, check that it is still valid.
ValidateLifetime = true,
// This defines the maximum allowable clock skew - i.e.
// provides a tolerance on the token expiry time
// when validating the lifetime. As we're creating the tokens
// locally and validating them on the same machines which
// should have synchronised time, this can be set to zero.
// Where external tokens are used, some leeway here could be
// useful.
ClockSkew = TimeSpan.FromMinutes(0)
}
});
TokenController
ในตัวควบคุมโทเค็นคุณต้องมีวิธีในการสร้างคีย์ที่เซ็นชื่อโดยใช้คีย์ที่โหลดใน Startup.cs เราได้ลงทะเบียนอินสแตนซ์ของ TokenAuthOptions ใน Startup แล้วดังนั้นเราจึงจำเป็นต้องฉีดมันลงใน Constructor ของ TokenController:
[Route("api/[controller]")]
public class TokenController : Controller
{
private readonly TokenAuthOptions tokenOptions;
public TokenController(TokenAuthOptions tokenOptions)
{
this.tokenOptions = tokenOptions;
}
...
จากนั้นคุณจะต้องสร้างโทเค็นในตัวจัดการของคุณสำหรับจุดสิ้นสุดการเข้าสู่ระบบในตัวอย่างของฉันฉันใช้ชื่อผู้ใช้และรหัสผ่านและตรวจสอบผู้ใช้โดยใช้คำสั่ง if แต่สิ่งสำคัญที่คุณต้องทำคือสร้างหรือโหลดการอ้างสิทธิ์ ประจำตัวที่ใช้และสร้างโทเค็นสำหรับที่:
public class AuthRequest
{
public string username { get; set; }
public string password { get; set; }
}
/// <summary>
/// Request a new token for a given username/password pair.
/// </summary>
/// <param name="req"></param>
/// <returns></returns>
[HttpPost]
public dynamic Post([FromBody] AuthRequest req)
{
// Obviously, at this point you need to validate the username and password against whatever system you wish.
if ((req.username == "TEST" && req.password == "TEST") || (req.username == "TEST2" && req.password == "TEST"))
{
DateTime? expires = DateTime.UtcNow.AddMinutes(2);
var token = GetToken(req.username, expires);
return new { authenticated = true, entityId = 1, token = token, tokenExpires = expires };
}
return new { authenticated = false };
}
private string GetToken(string user, DateTime? expires)
{
var handler = new JwtSecurityTokenHandler();
// Here, you should create or look up an identity for the user which is being authenticated.
// For now, just creating a simple generic identity.
ClaimsIdentity identity = new ClaimsIdentity(new GenericIdentity(user, "TokenAuth"), new[] { new Claim("EntityID", "1", ClaimValueTypes.Integer) });
var securityToken = handler.CreateToken(new Microsoft.IdentityModel.Tokens.SecurityTokenDescriptor() {
Issuer = tokenOptions.Issuer,
Audience = tokenOptions.Audience,
SigningCredentials = tokenOptions.SigningCredentials,
Subject = identity,
Expires = expires
});
return handler.WriteToken(securityToken);
}
และที่ควรจะเป็น เพียงเพิ่ม[Authorize("Bearer")]วิธีหรือคลาสที่คุณต้องการป้องกันและคุณควรได้รับข้อผิดพลาดหากคุณพยายามเข้าถึงโดยไม่มีโทเค็นอยู่ หากคุณต้องการที่จะกลับ 401 แทนของข้อผิดพลาด 500, คุณจะต้องลงทะเบียนจัดการข้อยกเว้นที่กำหนดเองที่ผมมีในตัวอย่างของฉันที่นี่