最近新開發一個需要給App使用的API項目。開發API肯定會想到JASON Web Token（JWT）和OAuthor2（之前一篇隨筆記錄過OAuthor2）。
JWT和OAuthor2的比較
要像比較JWT和OAuthor2，首先要明白一點就是，這是兩個完全不同的東西，沒有可比性。
JWT是一種認證協議
JWT提供了一種用於發布介入靈擺（Access Token），並對發布的簽名介入令牌進行驗證的方法。令牌（Token）本身包含了一系列聲明，應用程序可以根據這些聲明限制用戶對資源的訪問。
在新開發的API中，我選擇的是使用JWT，稍后會簡單介紹其在.net core中的使用。
OAuthor2是一種授權框架
OAuthor2是一種授權框架，提供了一套詳細的授權機制（指導）。用戶或應用可以通過公開的或私有的設置，授權第三方應用訪問特定資源。
既然JWT和OAuthor2沒有可比性，為什么還要把這兩個放在一起說呢？實際中，會有很多人拿JWT和OAuthor2作比較，或者分不清楚。很多情況下，在討論OAuthor2的實現時，會把JSON Web Token作為一種認證機制使用。這也是為什么他們會經常一起出現。
JSON Web Token（JWT）
JWT是一種安全標准。基本思路就是用戶提供用戶名和密碼給認證服務器，服務器驗證用戶提交的信息的合法性，如果認證成功，會產生並返回一個Token（令牌），用戶可以使用這個token訪問服務器上受保護的資源。
一個token的例子：
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6IjEiLCJuYW1lIjoibGl1dGFvIiwicm9sZSI6InNob3BVc2VycyIsImh0dHA6Ly9zY2hlbWFzLm1pY3Jvc29mdC5jb20vd3MvMjAwOC8wNi9pZGVudGl0eS9jbGFpbXMvcm9sZSI6InNob3BVc2VycyIsImFjdCI6IjEiLCJuYmYiOjE1NzQyNTAyMTgsImV4cCI6MTU3NTExNDIxOCwiaXNzIjoiWXVZdWUiLCJhdWQiOiJZdVl1ZSJ9.t39iwO-r_YgX5-7XyIV-by2duHfThqTQayI595VtqF
一個token包含三個部分：
header.claims.signature
為了安全的在url中使用，所有部分都base64 URL-safe進行編碼處理。
Header頭部分
頭部分簡單聲明了類型（JWT）以及產生簽名所使用的的算法。
{ "alg" : "AES256", "typ" : "JWT" }
Claims聲明
聲明部分是整個token的核心，表示要發送的用戶詳細信息。游學情況下，我們和有可能要在一個服務器上實現認證，然后訪問另一台服務器上的資源，或者，通過單獨的接口來生成token，token被保存在應用程序客戶端（比如瀏覽器）使用。
一個簡單的聲明（claim）的例子：
{ "sub": "1234567890", "name": "John Doe", "admin": true }
Signature簽名
簽名的目的是為了保證上邊兩部分信息不被篡改。如果嘗試使用Bas64對解碼后的token進行修改，簽名信息就會失效。一般使用一個私鑰（private key）通過特定算法對Header和Claims進行混淆產生簽名信息，所以只有原始的token才能於簽名信息匹配。
這里有一個重要的實現細節。只有獲取了私鑰的應用程序（比如服務器端應用）才能完全認證token包含聲明信息的合法性。所以，永遠不要把私鑰信息放在客戶端（比如瀏覽器）。
OAuthor2是什么？
相反，OAuthor2不是一個標准協議，而是一個安全的授權框架，它詳細描述了系統中不同角色、用戶、服務前端應用（比如API），以及客戶端（比如網站或移動APP）之間怎么實現相互認證。
OAuthor2的基本概念，可以去閱讀之前的一片隨筆。點擊此處
使用HTTPS保護用戶密碼
在進一步討論OAuthor2和JWT的實現之前，有必要說一下，兩種方案都需要SSL安全保護，也就是對要傳輸的數據進行加密編碼。安全地傳輸用戶提供的私密信息，在任何一個安全的系統里都是必要的。否則任何人都可以通過侵入私人wifi，在用戶登錄的時候竊取用戶的用戶名和密碼等信息。
JWT和OAuthor2應該如何選擇
在做選擇之前，參考一下下邊提到的幾點。
1、時間投入
OAuthor2是一個安全框架，描述了在各種不同場景下，多個應用之間的授權問題。有海量的資料需要學習，要完全理解需要花費大量時間。甚至對於一些有經驗的開發工程師來說，也會需要大概一個月的時間來深入理解OAuth2。 這是個很大的時間投入。相反，JWT是一個相對輕量級的概念。可能花一天時間深入學習一下標准規范，就可以很容易地開始具體實施。
2、出現錯誤的風險
OAuth2不像JWT一樣是一個嚴格的標准協議，因此在實施過程中更容易出錯。盡管有很多現有的庫，但是每個庫的成熟度也不盡相同，同樣很容易引入各種錯誤。在常用的庫中也很容易發現一些安全漏洞。當然，如果有相當成熟、強大的開發團隊來持續OAuth2實施和維護，可以一定成都上避免這些風險。
3、社交登錄的好處
在很多情況下,使用用戶在大型社交網站的已有賬戶來認證會方便。如果期望你的用戶可以直接使用Facebook或者Gmail之類的賬戶,使用現有的庫會方便得多。
JWT的使用場景
無狀態的分布式API
JWT的主要優勢在於使用無狀態、可擴展的方式處理應用中的用戶會話。服務端可以通過內嵌的聲明信息，很容易地獲取用戶的會話信息，而不需要去訪問用戶或會話的數據庫。在一個分布式的面向服務的框架中，這一點非常有用。但是，如果系統中需要使用黑名單實現長期有效的token刷新機制，這種無狀態的優勢就不明顯了。
優勢：
1、快速開發
2、不需要cookie
3、JSON在移動端的廣泛應用
4、不依賴與社交登錄
5、相對簡單的概念理解
限制
1、token有長度限制
2、token不能撤銷
3、需要token有失效時間限制（exp）
OAuthor2使用場景
外包認證服務器
上邊已經討論過，如果不介意API的使用依賴於外部的第三方認證提供者，你可以簡單地把認證工作留給認證服務商去做。也就是常見的，去認證服務商（比如facebook）那里注冊你的應用，然后設置需要訪問的用戶信息，比如電子郵箱、姓名等。當用戶訪問站點的注冊頁面時，會看到連接到第三方提供商的入口。用戶點擊以后被重定向到對應的認證服務商網站，獲得用戶的授權后就可以訪問到需要的信息，然后重定向回來。
優勢：
1、快速開發
2、實施代碼量小
3、維護工作減少
大型企業解決方案
如果設計的API要被不同的App使用，並且每個App使用的方式也不一樣，使用OAuth2是個不錯的選擇。考慮到工作量，可能需要單獨的團隊，針對各種應用開發完善、靈活的安全策略。當然需要的工作量也比較大！
優勢
1、靈活的實現方式
2、可以和JWT同時使用
3、可以針對不同的應用擴展
簡單介紹下在.net core的項目中是如何使用JWT的。
首先，我們的服務是基於組件化的，當然需要先把身份認證的服務注冊進來。在Startup類中的ConfigureServices（）方法中：
services.AddSingleton<ITokenHelper, TokenHelper>();
// configure strongly typed settings objects
var jwtConfigSection = Configuration.GetSection("Authentication:JwtBearer");
services.Configure<JWTConfig>(jwtConfigSection);
// configure jwt authentication
var jwtConfig = jwtConfigSection.Get<JWTConfig>();
services.AddAuthentication(x => { x.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme; x.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme; }).AddCookie(AdminUserAccountConst.AdminUserCookie, options => { options.Cookie.Name = AdminUserAccountConst.AdminUserCookieName; options.Cookie.HttpOnly = true; options.LoginPath = AdminUserAccountConst.AdminUserLoginPath; options.AccessDeniedPath = AdminUserAccountConst.AdminUserLoginPath; }).AddJwtBearer(AdminUserAccountConst.AdminUserJwt, o => { o.TokenValidationParameters = new TokenValidationParameters { NameClaimType = JwtClaimTypes.Name, RoleClaimType = JwtClaimTypes.Role, ValidateLifetime = false, ValidIssuer = Configuration["Authentication:JwtBearer:Issuer"], ValidAudience = Configuration["Authentication:JwtBearer:Audience"], IssuerSigningKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes(Configuration["Authentication:JwtBearer:SecurityKey"])) }; o.ForwardChallenge = AdminUserAccountConst.AdminUserCookie; });
下面是上面所需要用到一些自定義類型：
AdminUserAccountConst
public class AdminUserAccountConst { public const string AdminUserCookie = "AdminUserCookies"; public const string AdminUserCookieName = "AdminUserCookieName"; public const string AdminUserLoginPath = "/account/login"; public const string AdminUserJwt = "AdminUserJwt"; public const string AdminUserRole = "adminuser"; }
JWTConfig
public class JWTConfig { public string Issuer { get; set; } public string Audience { get; set; } public string IssuerSigningKey { get; set; } public int AccessTokenExpiresMinutes { get; set; } public string RefreshTokenAudience { get; set; } public int RefreshTokenExpiresMinutes { get; set; } }
至於這些類型的字段，可以自行在appsettings.json中去賦值。
"Authentication": { "JwtBearer": { "Issuer": "Bingle", "Audience": "Bingle", "IssuerSigningKey": "Bingle_C421AAEE0D114EAAACVD", "AccessTokenExpiresMinutes": "14400", "RefreshTokenAudience": "RefreshTokenAudience", "RefreshTokenExpiresMinutes": "43200" //60*24*30 } },
ITokenHelper與TokenHepler
public interface ITokenHelper { ComplexToken CreateToken(User user); ComplexToken CreateToken(Claim[] claims); (Result result, string userCode) ConfirmRefreshToken(string refreshToken); } public class TokenHelper : ITokenHelper { private readonly IOptions<JWTConfig> _options; public TokenHelper(IOptions<JWTConfig> options) { _options = options; } public ComplexToken CreateToken(User user) { Claim[] claims = new Claim[] { new Claim(JwtClaimTypes.Id, user.UserCode), new Claim(JwtClaimTypes.Name, user.UserName), new Claim(JwtClaimTypes.Role, user.UserRole.GetExtendDescription()), new Claim(ClaimTypes.Role, user.UserRole.GetExtendDescription()), new Claim(JwtClaimTypes.Actor, user.PartyId) }; return CreateToken(claims); } public ComplexToken CreateToken(Claim[] claims) { return new ComplexToken { AccessToken = CreateToken(claims, TokenType.AccessToken), RefreshToken = CreateToken(new Claim[]{claims.First(x=>x.Type == JwtClaimTypes.Id)}, TokenType.RefreshToken) }; } /// <summary> /// 用於創建AccessToken和RefreshToken。 /// 這里AccessToken和RefreshToken只是過期時間不同，【實際項目】中二者的claims內容可能會不同。 /// 因為RefreshToken只是用於刷新AccessToken，其內容可以簡單一些。 /// 而AccessToken可能會附加一些其他的Claim。 /// </summary> /// <param name="claims"></param> /// <param name="tokenType"></param> /// <returns></returns> private Token CreateToken(Claim[] claims, TokenType tokenType) { var now = DateTime.Now; var expires = now.Add(TimeSpan.FromMinutes(tokenType.Equals(TokenType.AccessToken) ? _options.Value.AccessTokenExpiresMinutes : _options.Value.RefreshTokenExpiresMinutes)); var token = new JwtSecurityToken( issuer: _options.Value.Issuer, audience: tokenType.Equals(TokenType.AccessToken) ? _options.Value.Audience : _options.Value.RefreshTokenAudience, claims: claims, notBefore: now, expires: expires, signingCredentials: new SigningCredentials(new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_options.Value.IssuerSigningKey)), SecurityAlgorithms.HmacSha256)); return new Token { TokenContent = new JwtSecurityTokenHandler().WriteToken(token), Expires = expires }; } public (Result result, string userCode) ConfirmRefreshToken(string refreshToken) { var tokenHandler = new JwtSecurityTokenHandler(); if (!tokenHandler.CanReadToken(refreshToken)) return (Result.FromCode(ResultCode.InvalidToken, "RefreshToken不正確"), null); var jwtSecurityToken = tokenHandler.ReadJwtToken(refreshToken); if (jwtSecurityToken.Issuer != _options.Value.Issuer || !jwtSecurityToken.Audiences.Contains(_options.Value.RefreshTokenAudience)) return (Result.FromCode(ResultCode.InvalidToken, "RefreshToken不正確"), null); if (jwtSecurityToken.ValidTo < DateTime.Now) return (Result.FromCode(ResultCode.InvalidToken, "RefreshToken已經過期了"), null); return (Result.Ok(), jwtSecurityToken.Claims.First(x => x.Type == JwtClaimTypes.Id).Value); } }
還要在Configure方法中使用中間件：
app.UseAuthentication();
首先，定義一個API的基類，后面的API繼承此基類就可以了
[Route("[controller]/[action]")] [ApiController] [Authorize( AuthenticationSchemes = AdminUserAccountConst.AdminUserCookie, Roles = AdminUserAccountConst.AdminUserRole)] public class BasicAdminController : ControllerBase { }
現在新建一個用戶登錄和退出的APIController繼承與上面那個基類就可以了。這里簡化 了代碼
[HttpPost] [AllowAnonymous] [ProducesResponseType(typeof(Result<TokenResultDto>), 200)] public JsonResult Login([FromBody]LoginDto model) { var user = new User();//這里需要去數據庫中進行校驗 if (user == null) return Json(new {IsSuccess=false,Msg="參數錯誤"}); var result = _tokenHelper.CreateToken(new User { UserCode = user.UserCode, UserName = user.UserName, Telphone = user.Telphone, PartyId = user.ShopCode, UserRole = UserRoleEnum.user, }); user.RefreshToken = result.RefreshToken.TokenContent; return Json(new TokenResultDto { AccessToken = result.AccessToken.TokenContent, Expires = result.AccessToken.Expires, RefreshToken = result.RefreshToken.TokenContent, }); }
這里使用AllowAnonymous標簽，是因為登錄並不需要進行身份驗證。當需要授權才能訪問的接口，不需要加上這個標簽。