ASP.NET core 3 使用 jwt 自定义身份验证

Question

我在我的项目中使用 jwt 令牌。当客户端登录时，他将收到一个带有他的设备 ID（在移动设备中）的令牌——该令牌已在请求正文中发送到服务器——作为有效负载......

我想要做的事情是当客户端在正文中发送他的设备 ID（作为我的项目中的约定）以及标头请求中的令牌时进一步请求，我想检查设备 ID 和令牌的有效负载是否相等。

我在这样的服务中做到了这一点：

public class AuthenticationService
{
    public bool IsAuthenticated(HttpRequest req, string deviceId)
    {


        var token = req.Headers["authorization"];
        var handler = new JwtSecurityTokenHandler();

        JwtSecurityToken tokenS;  

        foreach (var stringValue in token)
        {
            var ss = stringValue.Replace("Bearer ", "");
            if (handler.CanReadToken(ss))
            {
                tokenS = handler.ReadToken(ss) as JwtSecurityToken;
                return tokenS.Claims.Any(c => c.Value == deviceId);

            }
        }

        return false;
    }
}

我应该将它注入到我想要授权用户的每个控制器中......

if (_authenticationService.IsAuthenticated(Request, deviceId))
        {
            _logger.LogInformation("authorized!");
        }
        else
        {
            _logger.LogCritical("unauthorized");
        }

我想知道是否有更清洁的方法可以做到这一点？ 配置身份验证时在 Startup 类中要做的事情：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
            .AddJwtBearer(options =>
            {
                options.TokenValidationParameters = new TokenValidationParameters()
                {
                    ValidateIssuerSigningKey = true,
                    IssuerSigningKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes(
                        Configuration.GetSection("AppSettings:Token").Value)),
                    ValidateIssuer = false,
                    ValidateAudience = false,

                };
            });

Answer 1

AddJwtBearer 扩展将 token 中的声明映射到用户的 cliams ，您可以通过（如果 cliam 类型为 deviceId）获取设备 ID：

var deviceID= context.HttpContext.User.Claims.Where(x => x.Type == "deviceId").FirstOrDefault().Value;

然后您可以使用过滤器或中间件读取请求正文并将请求正文中的设备 ID 与用户声明中的设备 ID 进行比较。例如，如果使用过滤器：

public class CustomActionFilter : ActionFilterAttribute
{
    public override async void OnActionExecuting(ActionExecutingContext context)
    {

        if (context.HttpContext.User.Identity.IsAuthenticated) { 

        //read request body 
        var bodyStr = "";
        var req = context.HttpContext.Request;
        req.EnableBuffering();
        req.Body.Position = 0;
        using (var stream = new StreamReader(req.Body))
        {
            bodyStr = await stream.ReadToEndAsync();
        }

        // here you get device ID from bodyStr ,for example : deviceIDFromReq

        var deviceID= context.HttpContext.User.Claims.Where(x => x.Type == "deviceId").FirstOrDefault().Value;

        // then compare 

        if (deviceIDFromReq.Equals(deviceID))
        {
            context.Result = new BadRequestObjectResult(new
            {
                status = "error",
                description = "deviceID not matched"
            });
        }
        }
        base.OnActionExecuting(context);
    }
}

注册为全局过滤器：

services.AddControllers(config =>
{
    config.Filters.Add<CustomActionFilter>();

});