我目前正在开发一个Angular JS 应用与Node.js服务器的交互（作为API）并且使用基于JSON Web Token的身份验证。
但我有一个问题无法自己回答：当您在服务器端将用户作为负载编码JWT时，如何在客户端检索用户信息？ 以下是一个小例子，以便理解我的问题：
我是一个普通用户，我发送我的凭据到API进行身份验证。作为交换，我收到了一个JWT令牌，但我没有任何关于用户的信息，因为只有服务器拥有能够解码JWT令牌的密钥。那么服务器是否需要向我发送例如用户ID之类的信息，以便我可以调用我的api user/id来检索有关已认证用户的信息？
payload = {user_id: 35}
user_token = JWT.encode(payload, "your_secret_key");{"typ":"JWT","alg":"HS256"}
经过Base64解码后，结果将会是eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9。请注意，这只是解码，没有加密！您可以访问https://www.base64decode.org/进行测试。
在header之后，服务器需要向用户发送有效载荷。服务器可能决定发送以下json（我说“可能”，因为这里没有标准要求，您可以发送更多或更少的数据作为有效载荷，例如，您还可以设置用户权限，例如admin:true或用户的名字和姓氏，但请记住，JWT大小必须小，因为它将在每个请求中发送到服务器）。
{"username":"user","id":3,"iat":1465032622,"exp":1465050622}
var encodedString=base64UrlEncode(header) + "." + base64UrlEncode(payload);
//As our example base64UrlEncode(header) is eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9
//and the base64UrlEncode(payload) is eyJ1c2VybmFtZSI6IjEiLCJpZCI6MywiaWF0IjoxNDY1MDMyNjIyLCJleHAiOjE0NjUwNTA2MjJ9
var signature=HMACSHA256(encodedString, 'a secret string which is kept at server');
签名是使用一个秘密密钥生成的，而您在客户端没有这个密钥！！您也不需要它。所有令牌数据都在负载中，并且可以通过解码访问（再次强调，不是解密！）。
当您将令牌发送回服务器时，此签名用于在服务器上进行验证，以确保服务器可以信任令牌数据。
总结一下，看看下面的令牌：
//Header
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.
//PayLoad
eyJ1c2VybmFtZSI6IjEiLCJpZCI6MywiaWF0IjoxNDY1MDMyNjIyLCJleHAiOjE0NjUwNTA2MjJ9.
//Signature
0K8TL1YS0XKnEIfI3lYs-bu2vbWHSNZsVJkN1mXtgWg
头部和有效负载需进行Base64解码，并且客户端可以对其进行编码。但是您无法对签名进行任何操作。
服务器仅使用签名。客户端使用其令牌发送每个请求，服务器必须确保客户端未更改令牌有效负载的任何部分（例如更改userid）。这就是签名字符串的重要性所在，服务器为每个请求使用其秘密密钥重新检查签名！
注意:
您是否仍然想知道为什么JWT需要进行编码和解码？！这是为了使整个令牌在URL中安全传输！
header和payload，都是Base64编码的。客户端可以轻松解码它们。有效载荷包含有关用户的声明，客户端可以使用这些数据（用户ID、名称、角色、令牌过期时间）而无需向服务器发出另一个请求。signature。它是header、payload和只有服务器知道的密钥的哈希。服务器将在每个请求上验证令牌和用户权限。JWT（JSON Web Token）在Web开发中变得越来越流行。它是一种开放标准，允许以安全且紧凑的方式在各方之间传输数据作为JSON对象。使用JWT在各方之间传输的数据是数字签名的，因此可以轻松验证和信任。
ASP.NET Core中的JWT
第一步是在我们的项目中配置基于JWT的身份验证。我们可以添加自定义的JWT身份验证中间件，该中间件会在每个请求中触发授权。
Startup.cs
services.AddMvc(options => options.EnableEndpointRouting = false);
var tokenValidationParams = new TokenValidationParameters
{
ValidateIssuerSigningKey = true,
IssuerSigningKey = new SymmetricSecurityKey("Jwt_Key"),
ValidateIssuer = true,
ValidateAudience = true,
ValidateLifetime = true,
RequireExpirationTime = false,
ValidIssuer = "Jwt_Issuer",
ValidAudience = "Jwt_Audience",
ClockSkew = TimeSpan.Zero
};
services.AddSingleton(tokenValidationParams);
services.AddAuthentication(options => {
options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(jwt => {
jwt.SaveToken = true;
jwt.TokenValidationParameters = tokenValidationParams;
});
services.AddMvc();
// This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
if (env.IsDevelopment())
{
app.UseDeveloperExceptionPage();
}
// custom jwt auth middleware
**app.UseMiddleware<JwtMiddleware>();**
app.UseAuthentication();
app.UseMvc();
app.Run(async (context) =>
{
await context.Response.WriteAsync("Welcome to DATA API");
});
}
GenerateJSONWebToken(User userInfo)
{
var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("Jwt_Key"));
var credentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256);
var claims = new[] {
new Claim(JwtRegisteredClaimNames.Sub, userInfo.UserID),
new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
};
var token = new JwtSecurityToken("Jwt_Issuer","Jwt:Audience",
claims,
expires: DateTime.Now.AddHours(24),
signingCredentials: credentials);
return new JwtSecurityTokenHandler().WriteToken(token);
}
该方法返回 JWT Token：
Token：“eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiJKaWduZXNoIFRyaXZlZGkiLCJlbWFpbCI6InRlc3QuYnRlc3RAZ21haWwuY29tIiwiRG F0ZU9mSm9pbmciOiIwMDAxLTAxLTAxIiwianRpIjoiYzJkNTZjNzQtZTc3Yy00ZmU xLTgyYzAtMzlhYjhmNzFmYzUzIiwiZXhwIjoxNTMyMzU2NjY5LCJpc3MiOiJUZXN0 LmNvbSIsImF1ZCI6IlRlc3QuY29tIn0.8hwQ3H9V8mdNYrFZSjbCpWSyR1CNyDYHc Gf6GqqCGnY”
调用授权方法
[Authorize]
public ActionResult<IEnumerable<string>> Get()
{
return new string[] { "value1", "value2", "value3", "value4",
"value5" };
}
在 Jwt 中间件类中验证令牌
JwtMiddleware
{
private readonly RequestDelegate _next;
private readonly TokenValidationParameters _tokenValidationParams;
public JwtMiddleware(RequestDelegate next, TokenValidationParameters
tokenValidationParams)
{
_next = next;
_tokenValidationParams = tokenValidationParams;
}
public async Task Invoke(HttpContext context)
{
var token = context.Request.Headers["Authorization"].FirstOrDefault()?.Split(" ").Last();
var jwtTokenHandler = new JwtSecurityTokenHandler();
// Validation 1 - Validation JWT token format
var tokenInVerification = jwtTokenHandler.ValidateToken(token, _tokenValidationParams, out var validatedToken);
if (validatedToken is JwtSecurityToken jwtSecurityToken)
{
var result = jwtSecurityToken.Header.Alg.Equals(SecurityAlgorithms.HmacSha256, StringComparison.InvariantCultureIgnoreCase);
if (result == false)
{
Error Invalid = new Error()
{
Success = false,
Errors = "Token is Invalid"
};
context.Items["Error"] = Invalid;
}
}
await _next(context);
}
}
授权属性
public void OnAuthorization(AuthorizationFilterContext context)
{
var Error= (UserModel)context.HttpContext.Items["Error"];
if (AuthResult != null)
{
// not logged in
context.Result = new JsonResult(new { message = "Unauthorized Access" }) {
StatusCode = StatusCodes.Status401Unauthorized };
}
}
希望这对您有效。