在 ASP.NET Core 中，认证（Authentication）和授权（Authorization）是两个非常重要的概念。它们确保用户能够安全地访问应用程序，并且在访问过程中能按其权限被正确地控制。接下来，我将详细解释这两个概念，并且如何在 ASP.NET Core 中实现它们。
1. 认证（Authentication）
认证是指验证用户的身份，确保用户是他们声称的身份。在 ASP.NET Core 中，认证通常使用 Cookie、JWT（JSON Web Tokens）、OAuth2、OpenID Connect 等方式实现。
认证的基本流程：
- 用户输入凭证（用户名、密码、Token等）。
- 系统验证凭证是否有效。
- 如果凭证有效，生成一个身份标识（如 JWT 或 Cookie），并将其返回给用户。
- 用户在后续请求中附带此标识来证明自己的身份。
ASP.NET Core 提供了几种认证机制：
- Cookie Authentication：使用 Cookie 来保存用户的身份标识，适用于传统的基于会话的 Web 应用。
- JWT Bearer Authentication：使用 JSON Web Token（JWT）进行认证，常用于基于 API 的应用程序（如 SPA 或移动应用）。
- OAuth2 / OpenID Connect：授权框架，用于实现第三方认证（例如 Google、Facebook 登录等）。
示例：JWT 认证
在 ASP.NET Core 中配置 JWT 认证的步骤如下：
-
安装必要的 NuGet 包：
dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer -
配置
Startup.cs中的认证服务：public void ConfigureServices(IServiceCollection services)
{
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJwtBearer(options =>
{
options.RequireHttpsMetadata = false;
options.SaveToken = true;
options.TokenValidationParameters = new TokenValidationParameters
{
ValidateIssuer = true,
ValidateAudience = true,
ValidateLifetime = true,
ValidIssuer = Configuration["Jwt:Issuer"],
ValidAudience = Configuration["Jwt:Audience"],
IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:SecretKey"]))
};
});
} -
在
Configure方法中启用认证：public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
app.UseAuthentication();
app.UseAuthorization();
} -
生成 JWT Token： 在 Controller 中生成 JWT Token（通常是登录接口中）：
public IActionResult Login([FromBody] LoginModel model)
{
var claims = new[]
{
new Claim(ClaimTypes.Name, model.Username),
new Claim(ClaimTypes.Role, "Admin")
};
var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your_secret_key_here"));
var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
var token = new JwtSecurityToken(
issuer: "your_issuer",
audience: "your_audience",
claims: claims,
expires: DateTime.Now.AddMinutes(30),
signingCredentials: creds
);
return Ok(new { Token = new JwtSecurityTokenHandler().WriteToken(token) });
}
2. 授权（Authorization）
授权是指验证用户是否具有访问特定资源的权限。授权决定了认证用户可以执行哪些操作，访问哪些资源。
ASP.NET Core 的授权可以基于角色、策略或基于要求的授权。
角色授权：
最常见的授权方式是基于角色的授权，用户具有某些角色，系统根据角色来决定是否允许访问资源。
在控制器中使用 [Authorize] 特性进行角色授权：
[Authorize(Roles = "Admin")]
public IActionResult AdminOnly()
{
return View();
}
策略授权：
策略授权允许你根据自定义的逻辑进行授权，通常结合策略处理更加复杂的授权需求。
-
创建一个自定义策略：
public class MinimumAgeRequirement : IAuthorizationRequirement
{
public int MinimumAge { get; }
public MinimumAgeRequirement(int minimumAge)
{
MinimumAge = minimumAge;
}
} -
实现一个授权处理程序：
public classMinimumAgeHandler : AuthorizationHandler<MinimumAgeRequirement>
{
protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, MinimumAgeRequirement requirement)
{
var user = context.User;
var birthdateClaim = user.FindFirst(c => c.Type == "Birthdate");
if (birthdateClaim != null)
{
var birthdate = DateTime.Parse(birthdateClaim.Value);
var age = DateTime.Today.Year - birthdate.Year;
if (age >= requirement.MinimumAge)
{
context.Succeed(requirement);
}
}
return Task.CompletedTask;
}
} -
在
Startup.cs中注册授权策略：public void ConfigureServices(IServiceCollection services)
{
services.AddAuthorization(options =>
{
options.AddPolicy("Over18", policy =>
policy.Requirements.Add(new MinimumAgeRequirement(18)));
});
services.AddSingleton<IAuthorizationHandler, MinimumAgeHandler>();
} -
在控制器中使用策略授权：
[Authorize(Policy = "Over18")]
public IActionResult RestrictedContent()
{
return View();
}
3. 区别与结合
- 认证：通过验证用户身份来确认用户是谁，通常通过 Cookie 或 Token 来维持。
- 授权：根据用户的角色或权限，决定是否允许其执行某些操作或访问某些资源。
这两者通常是配合使用的，认证用于确认用户身份，授权用于控制其能访问哪些资源或执行哪些操作。
4. 总结
在 ASP.NET Core 中，认证和授权是保障 Web 应用安全的关键部分。你可以根据应用的需求选择不同的认证和授权方式。例如，如果你有一个 API，你可能会选择使用 JWT 认证，而对于 Web 应用则可能会使用 Cookie 认证。而授权则可以通过角色、策略等多种方式进行。通过合理配置认证和授权，可以确保应用程序安全，并且按照最小权限原则来控制用户的访问。
