使用JWT在Asp.net Web API上实现身份验证
使用JWT在Asp.net Web API上实现身份验证
我一直在研究JWT。
但从我所读的来看，它不是一种身份验证机制，而更像是身份验证机制中的一个关键组成部分。
我目前已经实现了一个可行的解决方案，但只是为了尝试JWT并了解其工作原理。现在我关心的是如何使用它。根据我的经验，它基本上只是一个加密机制，可以给你一个唯一的加密密钥。你还可以在这个令牌中放置信息。
我想在ASP.NET Web API 2中实现它，以供移动应用程序使用。
所以第一步：
- 应用程序 => 服务器：登录（用户名，密码）
- 服务器 => 应用程序：登录成功，这是你的JWT
- 应用程序 => 服务器：获取我的个人资料（发送带有JWT的请求）
服务器然后解密JWT并确定请求的身份。
这只是我对它的理解，可能完全错了。
JWT的理念是不是为了避免在每个请求上进行身份验证？我只需对用户的凭据进行一次身份验证（在初始登录时），之后服务器就可以简单地使用JWT，而不需要在数据库中查找用户的密码和用户名了吗？
我只想使用JWT来确认用户的身份。之后，我将对他们进行授权。因为我知道新的MVC和身份验证和授权之间存在很大的混淆。
所以我的问题变成了：
如何安全有效地使用JWT实现身份验证机制？
我不想只是编写一个看起来有效的代码，而对安全影响一无所知。我相信一定有一个源代码可能设计了一个安全的机制，适应我的需求。
我的需求是：
- 每个会话只需一次性检查数据库中的用户凭据？因为使用bcrypt比较密码会消耗大量资源。
- 必须能够通过请求标识用户（即他们是谁，用户ID足够），最好也不需要访问数据库
- 在服务器端处理请求时，开销应尽可能低。
- 如果入侵者复制了设备的先前请求，那么他不应该能够访问真正用户的数据。（显而易见）
谢谢
问题的出现原因是作者想要在Asp.net Web API上实现身份验证，并使用JWT（JSON Web Tokens）来进行身份验证。作者在一篇博客文章中详细介绍了如何配置OWIN授权服务器以发行带有签名的JWT令牌。这样资源服务器可以向授权服务器注册，并且可以使用Token发行方发行的JWT令牌，而无需统一所有各方之间的machineKey值。作者提供了一篇博客文章的链接，可以在该链接中阅读更多相关信息。
解决方法是，作者提供了一个链接，该链接是一个问题的提问页面，作者对于JwtSecurityToken参数中的issuer参数有些困惑。作者提出了一个问题，即如果将issuer参数设置为null，会发生什么情况？是否会将授权服务器本身作为主机？
从这些内容可以整理出以下文章：
标题：使用JWT在Asp.net Web API上实现身份验证
正文：
在Asp.net Web API上实现身份验证是一个常见的需求。为了实现这个功能，我们可以使用JWT（JSON Web Tokens）来进行身份验证。在这篇文章中，我将介绍如何使用JWT来实现身份验证，并使用OWIN授权服务器来发行JWT令牌。
首先，让我们来了解一下JWT是什么。JWT是一种基于JSON的开放标准，用于在各方之间安全地传输信息。它由三个部分组成：头部（Header）、负载（Payload）和签名（Signature）。头部包含了关于令牌类型和算法的信息，负载包含了实际的用户信息，签名用于验证令牌的完整性。
在Asp.net Web API中，我们可以使用OWIN授权服务器来发行JWT令牌。为了配置OWIN授权服务器以发行带有签名的JWT令牌，我写了一篇详细的博客文章，其中介绍了具体的配置步骤。通过这样的配置，资源服务器可以向授权服务器注册，并使用由Token发行方发行的JWT令牌进行身份验证。这样一来，我们就不需要在所有各方之间统一machineKey值了。
然而，在配置的过程中，我遇到了一个问题。我对于JwtSecurityToken参数中的issuer参数有些困惑。为了解决这个问题，我在Stack Overflow上提出了一个问题，并提供了一个链接。在这个的问题中，我询问了如果将issuer参数设置为null，会发生什么情况？是否会将授权服务器本身作为主机？
如果你对于这个问题感兴趣，或者想了解更多关于如何使用JWT在Asp.net Web API上实现身份验证的信息，你可以点击下面的链接阅读我的博客文章。这篇博客文章提供了详细的配置步骤和代码示例，帮助你更好地理解如何使用JWT进行身份验证。
[博客文章链接：JSON Web Token in ASP.NET Web API 2 using Owin](http://bitoftech.net/2014/10/27/json-web-token-asp-net-web-api-2-jwt-owin-authorization-server/)
通过使用JWT在Asp.net Web API上实现身份验证，我们可以实现更安全和可扩展的身份验证机制。通过配置OWIN授权服务器以发行JWT令牌，我们可以实现资源服务器对JWT令牌的验证，并实现无需统一machineKey值的身份验证过程。然而，在配置的过程中，我们可能会遇到一些问题，例如对于JwtSecurityToken参数中的issuer参数的困惑。通过提出问题并进行讨论，我们可以找到解决问题的方法，并更好地理解如何使用JWT进行身份验证。
希望这篇文章对于正在尝试在Asp.net Web API上实现身份验证的开发者们有所帮助。如果你有任何问题或者想了解更多信息，请点击上面的链接阅读我的博客文章。
使用JWT在Asp.net web API上实现身份验证的问题产生的原因是：JWT与身份验证无关，用户在创建JWT时进行身份验证是与JWT无关的操作。解决方法是使用其他方式进行身份验证，例如使用Membership Reboot。
JWT的加密是可选的，加密会增加系统的复杂性和服务器处理JWT的计算量。解决方法是根据签发者对令牌进行加密，以确保其完整性，防止用户或第三方篡改。
JWT可以包含任何所需的信息，如用户姓名、出生日期、电子邮件等。通过声明进行授权，将这些声明添加到JWT中。可以使用Claims Principle来生成包含这些声明的JWT。
实现Token提供程序的一种简单方法是在WebAPI项目中使用Microsoft的OAuth授权服务器。也可以考虑使用Thinktecture的Identity Server来更轻松地控制用户。为了防止入侵者通过复制最后一个请求获取访问资源的权限，至少需要使用SSL来保护令牌在传输过程中的安全性。
JWT的安全性最终取决于SSL的保护。加密仅仅是为了防止在客户端上以明文保存声明。如果用户的计算机被黑客攻击，那么JWT将无法为服务提供保护，无论是否加密。可以参考相关资源来深入了解JWT的安全性和使用方法。
使用JWT实现Asp.net Web API身份验证的原因是为了在Web API中实现身份验证。JWT（JSON Web Token）是一种用于身份验证和授权的开放标准。它允许服务器生成令牌，将用户的身份信息包含在令牌中，并在每个请求中通过令牌进行验证。这种方式比传统的基于会话的身份验证更安全和可扩展。
出现这个问题的原因是，传统的基于会话的身份验证在一些情况下存在一些问题。首先，它需要服务器存储会话状态，这增加了服务器的负担。其次，它不适用于分布式系统，因为会话状态无法在多个服务器之间共享。此外，基于会话的身份验证也不适用于无状态的API，因为它依赖于服务器存储会话状态。
解决这个问题的方法是使用JWT进行身份验证。JWT使用数字签名或加密将用户的身份信息编码为令牌，并将该令牌传递给客户端。客户端在每个请求中都会将令牌作为头部或参数发送到服务器。服务器可以验证令牌的完整性和有效性，并根据令牌中的信息授权访问。
要实现JWT身份验证，可以使用System.IdentityModel.Tokens.Jwt库。该库提供了一些类和方法，用于生成和验证JWT令牌。首先，需要安装和引用System.IdentityModel.Tokens.Jwt库的适当版本。然后，可以使用该库提供的类和方法生成JWT令牌，并在每个请求中验证令牌。通过这种方式，可以实现安全和可扩展的身份验证。
详细的实现步骤可以在Secure WebAPI Using JSON WEB TOKEN这篇文章中找到。在该文章中，作者提供了一个逐步实现JWT身份验证的教程，包括安装和引用System.IdentityModel.Tokens.Jwt库、生成和验证JWT令牌的代码示例。
总结起来，使用JWT实现Asp.net Web API身份验证的原因是为了解决传统基于会话的身份验证存在的问题，如服务器负担和分布式系统的不适用性。JWT通过将用户的身份信息编码为令牌并在每个请求中进行验证，提供了一种安全和可扩展的身份验证方式。要实现JWT身份验证，可以使用System.IdentityModel.Tokens.Jwt库提供的类和方法。在实际应用中，可以按照步骤安装和引用该库，并使用代码示例生成和验证JWT令牌。