ASP.NET Core的JWT的实现（中间件）.md

编写中间件
我们都知道，中间件是Core的管道模型组成部分，所以我们在中间件做验证，来判断每次请求用户是有有权限是有该WebApi或者其他API。

中间件 [li] public JwtCustomerAuthorizeMiddleware(RequestDelegate next, IOptions<JsonWebTokenSetting> options, IJsonWebTokenValidate jsonWebTokenValidate, Func<Dictionary<string, string>, JsonWebTokenSetting, bool> validatePayLoad, List<string> anonymousPathList)  { [/li]
1. this._next = next; 
2. this._setting = options.Value; 
3. this._jsonWebTokenValidate = jsonWebTokenValidate; 
4. this._validatePayLoad = validatePayLoad; 
5. this._anonymousPathList = anonymousPathList; 
6. } 
7.  
8. public async Task Invoke(HttpContext context) 
9. { 
10. //JsonWebTokenValidate 
11. //若是路径可以匿名访问，直接跳过 
12. if (_anonymousPathList.Contains(context.Request.Path.Value)) 
13. { 
14. //还未验证 
15. await _next(context); 
16. return; 
17. } 
18. var result = context.Request.Headers.TryGetValue("Authorization", out StringValues authStr); 
19. if (!result || string.IsNullOrEmpty(authStr.ToString())) 
20. { 
21. throw new UnauthorizedAccessException("未授权，请传递Header头的Authorization参数。"); 
22. } 
23.  
24. //进行验证与自定义验证 
25. result = _jsonWebTokenValidate.Validate(authStr.ToString().Substring("Bearer ".Length).Trim() 
26. , _setting, _validatePayLoad); 
27. if (!result) 
28. { 
29. throw new UnauthorizedAccessException("验证失败，请查看传递的参数是否正确或是否有权限访问该地址。"); 
30. } 
31.  
32. await _next(context); 
33. } 

从代码来看，

anonymousPathList

List

authStr

validatePayLoad

1. 验证
   验证方法，我只是做了签名验证与时间验证。并没有定得死死的，让用户自由度的去进行验证。 [li] public bool Validate(string encodeJwt, JsonWebTokenSetting setting, Func<Dictionary<string, string>, JsonWebTokenSetting, bool> validatePayLoad) 
{ [/li]
2. if (string.IsNullOrWhiteSpace(setting.SecurityKey)) 
3. { 
4. throw new ArgumentNullException("JsonWebTokenSetting.securityKey", 
5. "securityKey为NULL或空字符串。请在\"appsettings.json\"配置\"JsonWebToken\"节点及其子节点\"securityKey\""); 
6. } 
7.  
8. var success = true; 
9. var jwtArr = encodeJwt.Split('.'); 
10. var header = JsonConvert.DeserializeObject<Dictionary<string, string>>(Base64UrlEncoder.Decode(jwtArr[0])); 
11. var payLoad = JsonConvert.DeserializeObject<Dictionary<string, string>>(Base64UrlEncoder.Decode(jwtArr[1])); 
12.  
13. var hs256 = new HMACSHA256(Encoding.ASCII.GetBytes(setting.SecurityKey)); 
14. //首先验证签名是否正确（必须的） 
15. success = success && string.Equals(jwtArr[2], Base64UrlEncoder.Encode(hs256.ComputeHash(Encoding.UTF8.GetBytes(string.Concat(jwtArr[0], ".", jwtArr[1]))))); 
16. if (!success) 
17. { 
18. return success;//签名不正确直接返回 
19. } 
20. //其次验证是否在有效期内（也应该必须） 
21. var now = ToUnixEpochDate(DateTime.UtcNow); 
22. success = success && (now >= long.Parse(payLoad["nbf"].ToString()) && now < long.Parse(payLoad["exp"].ToString())); 
23.  
24. //再其次 进行自定义的验证 
25. success = success && validatePayLoad(payLoad, setting); 
26.  
27. return success; 
28. } 

加载中间件

使用扩展方法，来封装中间件

1. public static IApplicationBuilder UseJwtCustomerAuthorize(this IApplicationBuilder app, Action<IJwtCustomerAuthorezeOption> action) 
2. { 
3. var _JwtCustomerAuthorezeOption = app.ApplicationServices.GetService<IJwtCustomerAuthorezeOption>() as JwtCustomerAuthorezeOption; //new JwtCustomerAuthorezeOption(); 
4. action(_JwtCustomerAuthorezeOption); 
5. return app.UseMiddleware<JwtCustomerAuthorizeMiddleware>(_JwtCustomerAuthorezeOption.validatePayLoad, _JwtCustomerAuthorezeOption.anonymousPath); 
6. } 

1. 在

   Startup.cs

   使用

• 注册服务
  [li]public void ConfigureServices(IServiceCollection services) {  services.AddJwt(Configuration);} [/li]
• 使用中间件
  [li]public void Configure(IApplicationBuilder app, IHostingEnvironment env)  { [/li]
  1. app.UseJwtCustomerAuthorize(option => 
  2. { 
  3. //设置不会被验证的url，可以使用链式调用一直添加 
  4. option.SetAnonymousPaths(new System.Collections.Generic.List<string>() 
  5. { 
  6. // "/", 
  7. "/Home/Privacy", 
  8. "/Home/CreateJsonToken" 
  9. }); 
  10. // 自定义验证函数，playLoad为带过来的参数字典，setting为失效时间与秘钥 
  11. option.SetValidateFunc((playLoad, sertting) => 
  12. { 
  13. return true; 
  14. }); 
  15. }); 
  16. }