ASP.NET Core JWT身份验证的受众属性

Question

我对ASP.NET Core比较陌生。

我正在使用JWT来验证Web API。

在大多数在线教程的JWT代码中，我们可以找到如下所示的Issuer和Audience属性。

var tokenDescriptor = new SecurityTokenDescriptor
                {
                    Issuer = configuration["Jwt:Issuer"],
                    Audience = configuration["Jwt:Audience"],
               ...
                }

jwt.TokenValidationParameters = new TokenValidationParameters
        {
                ValidateIssuer = true,
                ValidateAudience = true,
                ...
        };

请问，这两者有什么用途？是用来验证JWT服务器和JWT客户端的吗？

还有，如何进行验证？

- ADev01

Answer 1

如果您注册以下服务，身份验证中间件将代表您进行验证。

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>  
    {  
        options.TokenValidationParameters = new TokenValidationParameters  
        {  
              ValidateIssuer = true,  
              ValidateAudience = true,   
              ValidIssuer = issuer // your issuer,  
              ValidAudience = audience // your audience
         };  
     }

- Yeasin Arafat

---

我已经做了，如果我没错的话，ValidateAudience的意思是请求必须来自同一个域名，对吗？如果是这样，即使来自其他域名，它也不起作用。 - ADev01

假设在生成令牌时，我提供了受众值"https://MyClientApp.com"，现在我已经生成了令牌并复制了令牌，试图从我的其他应用程序中传递该令牌，该应用程序的URL为"https://MyOtherApp.com"，我的理解是它应该拒绝该令牌，因为在发出令牌时，受众是MyClientApp.com，而现在它被MyOtherApp.com使用。但是如果有多个受众，我们该如何列出它们。 - Sukhraj

Answer 2

Issuer和Audience是JWT令牌的标准声明字段：

• Issuer：标识发出JWT的主体。
• Audience：标识JWT的接收者。每个打算处理JWT的主体都必须在audience声明中使用一个值来标识自己。如果处理声明的主体在此声明存在时没有使用aud声明中的值来标识自己，则必须拒绝JWT。

更详细的信息，您可以查看标准字段。

然后，对于ValidateIssuer和ValidAudience属性，如果将值设置为true，则在令牌验证期间将验证issuer和audience。

以下是一些关于使用Issuer和Audience进行JWT身份验证的相关文章，您可以参考它们：

ASP.NET Coreдёӯзҡ„JWTиә«д»ҪйӘҢиҜҒ

дҪҝз”ЁJWTе’ҢSwaggerеңЁASP.NET 5дёӯиҝӣиЎҢиә«д»ҪйӘҢиҜҒе’ҢжҺҲжқғ

- Zhi Lv