C#基于jwt實現(xiàn)分布式登錄
一、傳統(tǒng)的session登錄
在服務器存儲一份用戶登錄的信息，這份登錄信息會在響應時傳遞給瀏覽器，告訴其保存為cookie,以便下次請求時發(fā)送給我們的應用，這樣我們的應用就能識別請求來自哪個用戶了,這就是傳統(tǒng)的基于session認證。
在asp.net core中可以簡單實現(xiàn)：
// This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
if (env.IsDevelopment())
{
app.UseDeveloperExceptionPage();
}
else
{
app.UseExceptionHandler("/Home/Error");
app.UseHsts();
}
app.UseHttpsRedirection();
//使用靜態(tài)文件
app.UseStaticFiles();
//Cookie策略
//app.UseCookiePolicy();
//Session
app.UseSession();
app.UseMvc(routes =>
{
routes.MapRoute(
name: "default",
// template: "{controller=Home}/{action=Index}/{id?}");
//template: "{controller=Home}/{action=Server}/{id?}");
template: "{controller=Login}/{action=SignIn}/{id?}");
});
}
但是這種基于session的認證使應用本身很難得到擴展，隨著不同客戶端用戶的增加，獨立的服務器已無法承載更多的用戶，而這時候基于session認證應用的問題就會暴露出來。
傳統(tǒng)session的主要問題如下：
1.服務器壓力: 每個用戶經過我們的應用認證之后，我們的應用都要在服務端做一次記錄，以方便用戶下次請求的鑒別，通常而言session都是保存在內存中，而隨著認證用戶的增多，服務端的開銷會明顯增大。
2.擴展性: 用戶認證之后，服務端做認證記錄，如果認證的記錄被保存在內存中的話，這意味著用戶下次請求還必須要請求在這臺服務器上,這樣才能拿到授權的資源，這樣在分布式的應用上，相應的限制了負載均衡器的能力。這也意味著限制了應用的擴展能力。
3.CSRF: 因為是基于cookie來進行用戶識別的, cookie如果被截獲，用戶就會很容易受到跨站請求偽造的攻擊。
二、基于token的鑒權機制
基于token的鑒權機制是無狀態(tài)的，它不需要在服務端去保留用戶的認證信息或者會話信息，而是基于token去運算而實現(xiàn)鑒權。這就意味著基于token認證機制的應用不需要去考慮用戶在哪一臺服務器登錄了，這就為服務實現(xiàn)大規(guī)模分布式提供了基礎。
上圖是一種用token登錄的實現(xiàn)方式，類似的還有很多，雖然實現(xiàn)了分布式的登錄處理，但是由于不同的系統(tǒng)之間的不同實現(xiàn)，導致開發(fā)量劇增。
三、Json web token
這里推薦使用JWT——Json web token(官網(wǎng)鏈接)。一個典型的JWT看起來如下圖：
jwt為一個字符串，字符之間通過"."分隔符分為三個子串。注意JWT對象為一個長字串，各字串之間也沒有換行符，此處為了演示需要，特意分行并用不同顏色表示了。每一個子串表示了一個功能塊，總共有以下三個部分：JWT頭、有效載荷和簽名，將它們寫成一行如下：
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VybmFtZSI6InRlc3QiLCJpYXQiOjE1OTM5NTU5NDMsInVpZCI6MTAsImV4cCI6MTU5Mzk1NTk3Mywic2NvcGVzIjpbImFkbWluIiwidXNlciJdfQ.VHpxmxKVKpsn2Iytqc_6Z1U1NtiX3EgVki4PmA-J3Pg
一般是將它放入HTTP請求的Header Authorization字段中
Authorization: Bearer
這里可以打開nuget:https://www.nuget.org/packages/JWT.Standard/，或者在vs中使用
輸入jwt.standard找到nuget包下載
1.生成jwt數(shù)據(jù)
在需要使用的地方輸入如下C#代碼：
var jwtp = new JWTPackage<UserModel>(new UserModel()
{
Id = "1",
Name = "yswenli",
Role = "Admin"
}, 180, _pwd);
var keyValuePair = jwtp.GetAuthorizationBearer();
context.HttpContext.Response.Headers[keyValuePair.Key] = keyValuePair.Value;
這樣就將需要的jwt內容信息加入到Http頭部中，當然可以使用如下方式，以參數(shù)數(shù)據(jù)的方式傳遞，從而避免跨域問題
var password = Guid.NewGuid().ToString("N");
var jwtp1 = new JWTPackage<User>(new User()
{
Id = "1",
Name = "yswenli",
Role = "Admin"
}, 180, password);
var sign = jwtp1.Signature;
2.jwt解析驗證
JWTPackage<T>中使用JWTPackage<T>.Parse方法解析jwt的內容，如果內容是header中的參數(shù)，則快捷解析驗證代碼如下：
var result = string.Empty;
try
{
if (context.HttpContext.Request.Headers.ContainsKey(keyValuePair.Key))
{
var val = context.HttpContext.Request.Headers[keyValuePair.Key].ToString();
val = val.Replace(JWTPackage.Prex, "");
var jwt = JWTPackage<UserModel>.Parse(val, pwd);
result = "OK";
}
}
catch (IllegalTokenException iex)
{
result = $"解析失?。簕iex.Message}";
}
catch (TokenExpiredException tex)
{
result = $"解析失?。簕tex.Message}";
}
catch (SignatureVerificationException sex)
{
result = $"解析失?。簕sex.Message}";
}
catch (Exception ex)
{
result = $"解析失?。簕ex.Message}";
}
return result;
四、JWT的問題
經過上述的簡單介紹，JWT不僅可用于認證，還可用于信息交換，善用JWT有助于減少服務器請求數(shù)據(jù)的次數(shù)。但是如果不正確的使用JWT也會造成安全問題，主要幾點如下：
1.保護好secret私鑰，加密的密碼不能泄漏，否則就失去了簽名的意義了
2.Replay Attacks，JWT的消息體中最好加入生成時間，在后端中進行時間判定，小于規(guī)定時間的直接攔截
3.不應該在JWT的payload部分存放敏感信息，因為該部分是客戶端可解密的部分
4.建議的方式是通過SSL加密的傳輸（https協(xié)議），從而避免敏感信息被嗅探
以上就是C#基于jwt實現(xiàn)分布式登錄 的詳細內容，更多關于c# 實現(xiàn)分布式登錄 的資料請關注腳本之家其它相關文章！
相關文章
本文主要介紹了Unity實現(xiàn)檢測和識別圖片中的品牌LOGO信息。即對于輸入的一張圖片（可正常解碼，且長寬比適宜），輸出圖片中LOGO的名稱、位置和置信度。需要的可以參考一下2022-01-01
這篇文章主要為大家詳細介紹了C#簡單數(shù)字圖像處理程序，具有一定的參考價值，感興趣的小伙伴們可以參考一下2018-09-09
c#使用S22.Imap收劍靈激活碼郵件代碼示例(imap收郵件)
一個IMAP收發(fā)郵件的類庫S22.IMAP，方便易用,下面來個例子可以收劍靈激活碼郵件2013-12-12
本文主要介紹了C#中將dateTimePicker初始值設置為空，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧2023-02-02
這篇文章主要介紹了C# 使用 log4net 日志組件的方法，幫助大家更好的理解和使用c#，感興趣的朋友可以了解下2020-12-12
本文介紹了C#中獲取DataGridView所有列名的方法,重點講解遍歷Columns集合及相關屬性（列名、標題、類型）,并給出源碼及開發(fā)注意事項,如空引用檢查、性能優(yōu)化和運行時列處理,需要的朋友可以參考下2025-10-10
C#基礎知識系列八const和readonly關鍵字詳細介紹
這篇文章主要介紹了C#中的const和readonly關鍵字，有需要的朋友可以參考一下2014-01-01
這篇文章主要為大家詳細介紹了C# DataTable的使用方法，感興趣的小伙伴們可以參考一下2016-02-02
這篇文章主要介紹了C#/VB.NET中從PDF文檔中提取所有表格，文章圍繞主題展開詳細的內容介紹，具有一定的參考價值，需要的小伙伴可以參考一下2022-08-08
這篇文章主要介紹了Unity 設定 Animator分割播放的操作，具有很好的參考價值，希望對大家有所幫助。一起跟隨小編過來看看吧2021-04-04