ASP.NET Core的JWT的實現（自定義策略形式驗證）.md

時間 2019-11-16

標籤 asp.net asp core jwt 實現自定義策略形式驗證欄目 ASP 简体版

原文原文鏈接

既然選擇了遠方，便只顧風雨兼程 __ HANS許html

在上篇文章，咱們講了JWT在ASP.NET Core的實現，基於中間件來實現。這種方式有個缺點，就是全部的URL，要嘛須要驗證，要嘛不須要驗證，沒有辦法各取所需，由於咱們某個API與另外一個API的驗證方式不同。這就引導出「基於自定義策略形式下的驗證了」。git

ASP.NET Core 的Authorization實現

咱們使用Core自帶的Authorization(認證與受權)來實現。你們能夠先看下微軟官方的策略受權github

微軟官方例子:
1.1 定義策略json
1. internal class MinimumAgeAuthorizeAttribute : AuthorizeAttribute
2. {
3. const string POLICY_PREFIX = "MinimumAge";
4. public MinimumAgeAuthorizeAttribute(int age) => Age = age;
5. // Get or set the Age property by manipulating the underlying Policy property
6. public int Age
7. {
8. get
9. {
10. if (int.TryParse(Policy.Substring(POLICY_PREFIX.Length), out var age))
11. {
12. return age;
13. }
14. return default(int);
15. }
16. set
17. {
18. Policy = $"{POLICY_PREFIX}{value.ToString()}";
19. }
20. }
21. }
1.2 使用策略ide
1. [MinimumAgeAuthorize(10)]
2. public IActionResult RequiresMinimumAge10()
這樣在執行RequiresMinimumAge10會先執行MinimumAgeAuthorize策略，很像MVC的Attribute特性,
但內部又不像，在這邊就很少作解釋了，微軟的Core官方文檔講的很清楚。你們去看下就清楚了。函數
JWT的自定義策略形式的實現
2.1 瞭解IAuthorizationRequirement
IAuthorizationRequirement表示受權要求，用戶能夠繼承這個接口，實現本身認證與受權的要求，好比上面的片斷代碼，它就繼承該接口，並有個字段Age，也就是這個策略有年齡的要求，這個要求能夠帶到咱們後面驗證的方法裏面。咱們往下看。ui

2.2 繼承IAuthorizationRequirement
因此咱們實現了JwtAuthorizeBaseRequiremente該接口，並繼承IAuthorizationRequirement,能夠看到咱們的要求是一個叫validatePayLoad的委託函數，委託函數的入參是字典，JWT，字典即是上篇文章說的JWT的負載部分了。而返回參數是bool,便表明咱們自定義的策略驗證JWT是否成功。IJwtAuthorizRequiremente繼承了IAuthorizationRequirementthis
1. public class JwtAuthorizeBaseRequiremente : IJwtAuthorizRequiremente
2. {
3. protected internal Func<Dictionary<string, string>, JsonWebTokenSetting, bool> validatePayLoad = (a, b) =>
4. {
5. return true;
6. };
8. public virtual IJwtAuthorizRequiremente SetValidateFunc(Func<Dictionary<string, string>, JsonWebTokenSetting, bool> func)
10. {
11. this.validatePayLoad = func ?? this.validatePayLoad;
12. return this;
13. }
14. }
2.3 瞭解AuthorizationHandler
AuthorizationHandler爲特定需求類型調用的受權處理程序的基類。也就是說咱們處理策略是會到這個基類來處理，而且判斷是否定證成功，也就是受權成功。spa

2.4 繼承AuthorizationHandler
JwtAuthorizeHandler繼承AuthorizationHandler並實現泛型JwtAuthorizeBaseRequiremente的定義，這樣子咱們的自定義的策略委託驗證函數就會傳遞到這個處理類。咱們須要重寫HandleRequirementAsync來自定已處理。能夠看到，最終咱們仍是調用上篇文章所講的驗證函數_jsonWebTokenValidate.Validate，你們不清楚能夠去看上篇文章。而requirement.validatePayLoad即是咱們稍後再外面自定義的驗證函數了。code
1. public class JwtAuthorizeHandler : AuthorizationHandler<JwtAuthorizeBaseRequiremente>
2. {
3. private readonly JsonWebTokenSetting _setting;
4. private readonly IJsonWebTokenValidate _jsonWebTokenValidate;
6. public JwtAuthorizeHandler(IOptions<JsonWebTokenSetting> setting, IJsonWebTokenValidate jsonWebTokenValidate)
7. {
8. this._setting = setting.Value;
9. this._jsonWebTokenValidate = jsonWebTokenValidate;
10. }
12. /// <summary>
13. /// 驗證JWT
14. /// </summary>
15. /// <param name="context"></param>
16. /// <param name="requirement"></param>
17. /// <returns></returns>
18. protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, JwtAuthorizeBaseRequiremente requirement)
19. {
20. var httpContext = (context.Resource as AuthorizationFilterContext).HttpContext;
22. var result = httpContext.Request.Headers.TryGetValue("Authorization", out StringValues authStr);
23. if (!result || string.IsNullOrEmpty(authStr.ToString()))
24. {
25. throw new UnauthorizedAccessException("未受權，請傳遞Header頭的Authorization參數。");
26. }
27. result = result && _jsonWebTokenValidate.Validate(authStr.ToString().Substring("Bearer ".Length).Trim(), _setting, requirement.validatePayLoad);
28. if (!result)
29. {
30. throw new UnauthorizedAccessException("驗證失敗，請查看傳遞的參數是否正確或是否有權限訪問該地址。");
31. }
32. context.Succeed(requirement);
33. return Task.CompletedTask;
34. }
35. }
2.5 怎麼使用呢？
- 咱們須要在Startup.cs文件進行註冊服務。其中CommonAuthorize繼承JwtAuthorizeBaseRequiremente，並將自定義的策略方法，傳遞進去。其中common是策略名稱。能夠多個定義策略
  public void ConfigureServices(IServiceCollection services)
  
  {
  
  services.AddJwt(Configuration);
  
  services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_2);
  
  services.AddAuthorization(option =>
  
  {
  
  #region 自定義驗證策略能夠一直自定義策略
  
  option.AddPolicy("common", policy => policy.Requirements.Add(new CommonAuthorize().
  
  SetValidateFunc((playLoad, sertting) =>
  
  {
  
  //每一個策略自定義驗證函數，playLoad爲帶過來的參數字典，setting爲失效時間與祕鑰
  
  return true;
  
  })));
  
  #endregion 自定義驗證策略
  
  }).AddAuthentication(option =>
  
  {
  
  option.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
  
  });
  
  }
- 接着咱們在想要的Controller或者Action的頭部使用[Authorize(Policy = "common")]，這樣每次進到相對應的Controller或者Action，會先進行策略驗證，而咱們這邊驗證的即是JWT了。