Question

我正在开发一个aspnet core 2 web api项目，主要消费者是一个vue web应用程序。

Api使用jwt令牌作为身份验证方法，一切正常。

现在我已经提出了所有代码来管理数据库中的图像存储和检索，但是我从db中获取图像时遇到了问题。

所有路由（登录除外）都在身份验证之后，因此要检索图像，我在请求标头中有通过令牌（通常）

这使我无法使用图像源标签实际显示图像，如

<img src="/api/images/27" />

相反，我必须编写一些javascript代码来请求图像并将内容放在图像标记中，例如

// extracted from vue code (not my code, i'm the backend guy)
getImage() {
    this.$http.get('api/images/27', {headers: {'Authorization': 'Bearer ' + this.token},responseType: 'blob'})
    .then(response => {
        return response.blob()
    }).then(blob => { 
        this.photoUrl = URL.createObjectURL(blob)
    })
}

这很有效，但它有点不必要的并发症。

我在AspNet Core Identity中看到了

或者，您可以从其他位置获取令牌，例如不同的标头，甚至是cookie。在这种情况下，处理程序将使用提供的令牌进行所有进一步处理

（摘自Andre Lock博客的this文章）您还可以查看aspnet core security code，其中显示

让应用程序有机会从其他位置查找，调整或拒绝令牌

但我无法找到有关如何使用此功能并传递自定义令牌的任何示例。

所以，我的问题是：有没有人知道如何将自定义令牌（可能从get参数读取）传递给身份提供者（甚至可能只针对某些已定义的路由）？

感谢serpent5正确回答。

如果有人有兴趣，请从url param读取令牌并将其传递给验证的完整代码如下

service.AddAuthentication(...)
    .AddJwtBearer(options =>
        // ...
        options.Events = new JwtBearerEvents
        {
            OnMessageReceived = ctx =>
            {
                // replace "token" with whatever your param name is
                if (ctx.Request.Method.Equals("GET") && ctx.Request.Query.ContainsKey("token"))
                    ctx.Token = ctx.Request.Query["token"];
                return Task.CompletedTask;
            }
        };
    });

Answer 1

可以使用与提供给JwtBearerEvents的{{1}}实例相关联的JwtBearerOptions来处理此问题。具体来说，可以实现AddJwtBearer事件来提供令牌本身。这是一个例子：

OnMessageReceived

您可以在source code中看到它的使用方式：

services.AddAuthentication(...)
    .AddJwtBearer(jwtBearerOptions =>
    {
        // ...

        jwtBearerOptions.Events = new JwtBearerEvents
        {
            OnMessageReceived = ctx =>
            {
                // Access ctx.Request here for the query-string, route, etc.
                ctx.Token = "";
                return Task.CompletedTask;
            }
        };
    })

Answer 2

您的应用程序可以提供此功能，例如使用正确的凭据登录。（前端 - ＆gt;登录正确 - ＆gt;后端发送回JWT令牌。）

然后，您可以将后端提供给您的令牌存储在cookie / localstorage中。

每当您向API发送请求时，只需从cookie / localstorage中检索您的令牌，然后将其添加到请求标头中。

我将向您展示如何添加将处理令牌生成的中间件的示例。验证

appsettings.conf

{
  "Secret": {
    "Key": "abcdefghijklmnop123456789"
  }
}

密钥用于生成唯一的JWT令牌，应该单独存储在机器上，这只是为了示例目的

TokenProviderOptions.cs

public class TokenProviderOptions
{
    public string Path { get; set; } = "/token";
    public string Issuer { get; set; }
    public string Audience { get; set; }
    public TimeSpan Expiration { get; set; } = TimeSpan.FromHours(1);
    public SigningCredentials SigningCredentials { get; set; }
}

一个类，它将为我们提供令牌生成的基本信息。＆＃34;路径＆＃34;可以更改为您要检索令牌的任何路径。

TokenProviderMiddleware.cs

public class TokenProviderMiddleware
{
    private readonly RequestDelegate _next;
    private readonly TokenProviderOptions _options;
    private readonly IAccountService _accountService;

    public TokenProviderMiddleware(RequestDelegate next, IOptions<TokenProviderOptions> options, IAccountService accounteService)
    {
        _next = next;
        _options = options.Value;
        _accountService = accounteService;
    }

    public Task Invoke(HttpContext context)
    {
        //Check path request
        if (!context.Request.Path.Equals(_options.Path, StringComparison.Ordinal)) return _next(context);

        //METHOD: POST && Content-Type : x-www-form-urlencode
        if (context.Request.Method.Equals("POST") && context.Request.HasFormContentType)
            return GenerateToken(context);


        context.Response.StatusCode = 400;
        return context.Response.WriteAsync("Bad Request");
    }

    private async Task GenerateToken(HttpContext context)
    {
        var username = context.Request.Form["username"];
        var password = context.Request.Form["password"];

        var identity = await GetIdentity(username, password);

        if (identity == null)
        {
            context.Response.StatusCode = 400;
            await context.Response.WriteAsync("Invalid username or password");
            return;
        }

        var now = DateTime.UtcNow;

        var claims = new Claim[]
        {
            new Claim(JwtRegisteredClaimNames.Sub, username),
            new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
            new Claim(JwtRegisteredClaimNames.Iat, now.Second.ToString(), ClaimValueTypes.Integer64)
        };

        var jwt = new JwtSecurityToken(
            issuer: _options.Issuer,
            audience: _options.Audience,
            claims: claims,
            notBefore: now,
            expires: now.Add(_options.Expiration),
            signingCredentials: _options.SigningCredentials);

        var encodedJwt = new JwtSecurityTokenHandler().WriteToken(jwt);

        var response = new
        {
            access_token = encodedJwt,
            expires_in = (int)_options.Expiration.TotalSeconds,
            username = username
        };

        context.Response.ContentType = "application/json";
        await context.Response.WriteAsync(JsonConvert.SerializeObject(response,
            new JsonSerializerSettings { Formatting = Formatting.Indented }));
    }

    private Task<ClaimsIdentity> GetIdentity(string username, string password)
    {
        //THIS STEP COULD BE DIFFERENT, I HAVE AN ACCOUNTSERVICE THAT QUERIES MY DB TO CHECK THE USER CREDENTIALS
        var auth = _accountService.Login(username, password).Result;
        return auth
            ? Task.FromResult(new ClaimsIdentity(new GenericIdentity(username, "Token"), new Claim[] { }))
            : Task.FromResult<ClaimsIdentity>(null);
    }
}

这是中间件部分。您必须向application/x-www-form-urlencoded发送一个POST请求，并将username和password两个字段发送到您Path中TokenProviderOptions 1}}。

如果检查通过，您将获得一个jwt令牌。

最后这里是Startup.cs

public class Startup
{
    public Startup(IConfiguration configuration)
    {
        Configuration = configuration;
    }

    public IConfiguration Configuration { get; set; }

    public void ConfigureServices(IServiceCollection services)
    {
        //Mvc
        services.AddMvc();

        //...

        //Authentication
        services.AddAuthentication()
            .AddJwtBearer(jwt =>
            {
                var signingKey =
                    new SymmetricSecurityKey(Encoding.ASCII.GetBytes(Configuration.GetSection("Secret:Key").Value));

                jwt.TokenValidationParameters = new TokenValidationParameters
                {
                    ValidateIssuerSigningKey = true,
                    IssuerSigningKey = signingKey,

                    ValidateIssuer = true,
                    ValidIssuer = "2CIssuer",

                    ValidateAudience = true,
                    ValidAudience = "2CAudience",

                    ValidateLifetime = true,

                    ClockSkew = TimeSpan.Zero
                };
            });

        //Authorization
        services.AddAuthorization(auth =>
        {
            auth.AddPolicy("Bearer", new AuthorizationPolicyBuilder(JwtBearerDefaults.AuthenticationScheme).RequireAuthenticatedUser().Build());
        });
    }

    public void Configure(IApplicationBuilder app)
    {
        //...

        //Authentication
        var signingKey =
            new SymmetricSecurityKey(Encoding.ASCII.GetBytes(Configuration.GetSection("Secret:Key").Value));

        var options = new TokenProviderOptions
        {
            Audience = "2CAudience",
            Issuer = "2CIssuer",
            SigningCredentials = new SigningCredentials(signingKey, SecurityAlgorithms.HmacSha256)
        };

        app.UseAuthentication();

        //JWT
        app.UseMiddleware<TokenProviderMiddleware>(Options.Create(options));

        //Mvc
        app.UseMvc();
    }
}

我遗漏了冗余代码。这会添加您的自定义中间件，将应用程序配置为使用JWT令牌。

您所要做的就是更改上面提到的自定义参数，使用令牌＆＃39;：tokenValue为您的请求签名，然后您就行了！

我在这里有一个工作后端模板：https://github.com/BusschaertTanguy/dotnet_core_backend_template 仔细检查一切。

希望它有所帮助！

aspnet core jwt token as get param

2 个答案: