禁用控制器方法的承载令牌验证

Question

我正在尝试跳过我想在我的 API 上“公开”的方法的令牌验证。

在我的 StartUp 中，我收到以下事件来检查呼叫是否被授权：

 x.Events = new JwtBearerEvents
 {
     OnTokenValidated = async context =>
     {
         var sessionManager = context.HttpContext.GetService<ISessionManager>();

         if (!sessionManager.IsCurrentTokenValid())
         {
             context.HttpContext.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
             var message = Encoding.UTF8.GetBytes("invalidToken");
             context.Response.OnStarting(async () =>
             {
                 await context.Response.Body.WriteAsync(message, 0, message.Length);
             });
         }
     }
 };

我试图从控制器中删除[Authorize] 属性，但上面的代码仍然触发 还尝试在我想跳过验证但仍然触发上述代码的方法上添加[IgnoreAntiforgeryToken(Order = 1001)]。

你知道我怎样才能只对某些方法禁用它吗？

Answer 1

通常您使用[AllowAnonymous] 装饰您希望允许不进行身份验证的控制器或操作（请参阅docs）。

如果您有多个身份验证（Jwt、Cookie）并且您希望特定端点仅允许使用特定身份验证，则使用方案属性，即[Authorize(Scheme = "Cookie)]。

Answer 2

如果端点实现AllowAnonymous，请尝试忽略令牌验证结果

x.Events = new JwtBearerEvents
{
    OnTokenValidated = async context =>
    {
        var sessionManager = context.HttpContext.GetService<ISessionManager>();
        var endpoint = context.HttpContext.Features.Get<IEndpointFeature>()?.Endpoint;
        var allowAnon = endpoint?.Metadata.GetMetadata<IAllowAnonymous>() != null;

        if (!allowAnon && !sessionManager.IsCurrentTokenValid())
        {
            context.HttpContext.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
            var message = Encoding.UTF8.GetBytes("invalidToken");
            context.Response.OnStarting(async () =>
            {
                await context.Response.Body.WriteAsync(message, 0, message.Length);
            });
        }
    }
};