.NET CORE如何鉴权

发布时间：2022-02-21 09:20:02 作者：iii
来源：亿速云阅读：277

# .NET Core如何鉴权

## 目录
- [引言](#引言)
- [认证与授权基础概念](#认证与授权基础概念)
- [.NET Core鉴权体系架构](#net-core鉴权体系架构)
- [常用鉴权方案详解](#常用鉴权方案详解)
  - [1. Cookie认证](#1-cookie认证)
  - [2. JWT认证](#2-jwt认证)
  - [3. OAuth2/OpenID Connect](#3-oauth2openid-connect)
  - [4. 基于策略的授权](#4-基于策略的授权)
- [高级鉴权场景](#高级鉴权场景)
- [安全最佳实践](#安全最佳实践)
- [总结](#总结)

## 引言

在现代Web应用开发中，身份认证和授权（鉴权）是保障系统安全的核心机制。.NET Core提供了一套灵活、可扩展的鉴权框架，支持多种主流认证协议和授权模式。本文将深入探讨.NET Core中的鉴权机制，涵盖从基础概念到实际实现的完整知识体系。

## 认证与授权基础概念

**认证（Authentication）**  
验证用户身份的过程，常见方式：
- 用户名/密码
- 社交账号登录
- 证书认证

**授权（Authorization）**  
确定已认证用户可访问资源的过程，主要类型：
- 基于角色（Role-based）
- 基于声明（Claim-based）
- 基于策略（Policy-based）

```csharp
// 示例：基础鉴权特性
[Authorize] // 要求认证
public class SecureController : Controller {}

[Authorize(Roles = "Admin")] // 要求Admin角色
public class AdminController : Controller {}

.NET Core鉴权体系架构

核心组件

AuthenticationMiddleware
处理认证流程的管道中间件
IAuthenticationService
认证服务的统一抽象
AuthenticationHandler
具体认证协议的实现基类

配置入口

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(options => {
        options.DefaultScheme = "Cookies";
        options.DefaultChallengeScheme = "oidc";
    })
    .AddCookie("Cookies")
    .AddOpenIdConnect("oidc", options => { /* OIDC配置 */ });
}

public void Configure(IApplicationBuilder app)
{
    app.UseAuthentication();
    app.UseAuthorization();
}

常用鉴权方案详解

1. Cookie认证

适用场景
传统Web应用会话管理

实现步骤

services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options => {
        options.Cookie.HttpOnly = true;
        options.ExpireTimeSpan = TimeSpan.FromMinutes(30);
        options.LoginPath = "/Account/Login";
    });

// 登录示例
public async Task<IActionResult> Login(LoginModel model)
{
    var claims = new List<Claim> {
        new Claim(ClaimTypes.Name, model.Username)
    };
    var identity = new ClaimsIdentity(claims, "Login");
    await HttpContext.SignInAsync(
        CookieAuthenticationDefaults.AuthenticationScheme,
        new ClaimsPrincipal(identity));
}

安全配置要点 - 启用HttpOnly和Secure标志 - 设置合理的过期时间 - 实现CSRF防护

2. JWT认证

适用场景
前后端分离架构、微服务间通信

实现方案

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options => {
        options.TokenValidationParameters = new TokenValidationParameters {
            ValidateIssuer = true,
            ValidIssuer = "your-issuer",
            ValidateAudience = true,
            ValidAudience = "your-audience",
            ValidateLifetime = true,
            IssuerSigningKey = new SymmetricSecurityKey(
                Encoding.UTF8.GetBytes("your-secret-key"))
        };
    });

// 生成Token示例
public string GenerateJwtToken(User user)
{
    var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config["Jwt:Key"]));
    var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
    
    var token = new JwtSecurityToken(
        issuer: _config["Jwt:Issuer"],
        audience: _config["Jwt:Audience"],
        claims: GetUserClaims(user),
        expires: DateTime.Now.AddMinutes(30),
        signingCredentials: creds);
    
    return new JwtSecurityTokenHandler().WriteToken(token);
}

JWT最佳实践 - 使用强密钥（至少256位） - 设置合理的过期时间 - 避免在JWT中存储敏感数据

3. OAuth2/OpenID Connect

适用场景
第三方登录、单点登录（SSO）

典型配置

services.AddAuthentication(options => {
        options.DefaultScheme = "Cookies";
        options.DefaultChallengeScheme = "oidc";
    })
    .AddCookie("Cookies")
    .AddOpenIdConnect("oidc", options => {
        options.Authority = "https://demo.identityserver.io";
        options.ClientId = "interactive.confidential";
        options.ClientSecret = "secret";
        options.ResponseType = "code";
        options.SaveTokens = true;
    });

OAuth2流程类型对比

授权类型	适用场景
Authorization Code	Web后端应用
Implicit	传统SPA（不推荐）
Client Credentials	服务间通信
Resource Owner Password	遗留系统迁移

4. 基于策略的授权

灵活授权方案

services.AddAuthorization(options => {
    options.AddPolicy("RequireVIP", policy => 
        policy.RequireAssertion(context =>
            context.User.HasClaim(c => 
                (c.Type == "MembershipType" && c.Value == "VIP")));
});

// 控制器使用
[Authorize(Policy = "RequireVIP")]
public class VIPController : Controller {}

策略组合方式

options.AddPolicy("ComplexPolicy", policy => {
    policy.RequireAuthenticatedUser()
          .RequireRole("Admin")
          .RequireClaim("Department", "IT")
          .Requirements.Add(new CustomRequirement());
});

高级鉴权场景

多认证方案并存

services.AddAuthentication()
    .AddCookie("InternalAuth")
    .AddJwtBearer("ExternalApiAuth");

// 按需选择方案
[Authorize(AuthenticationSchemes = "InternalAuth")]
public class InternalController : Controller {}

[Authorize(AuthenticationSchemes = "ExternalApiAuth")]
public class ApiController : Controller {}

动态策略生成

public class DynamicAuthorizationPolicyProvider : IAuthorizationPolicyProvider
{
    public Task<AuthorizationPolicy> GetPolicyAsync(string policyName)
    {
        var policy = new AuthorizationPolicyBuilder();
        // 根据policyName动态构建策略
        return Task.FromResult(policy.Build());
    }
}

微服务鉴权传播

// 使用DelegatingHandler传播JWT
public class JwtPropagationHandler : DelegatingHandler
{
    protected override async Task<HttpResponseMessage> SendAsync(
        HttpRequestMessage request, 
        CancellationToken cancellationToken)
    {
        var token = await GetTokenAsync();
        request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", token);
        return await base.SendAsync(request, cancellationToken);
    }
}

安全最佳实践

敏感数据保护

使用ASP.NET Core Data Protection API

services.AddDataProtection()
   .PersistKeysToAzureBlobStorage(new Uri("<blob-uri>"))
   .ProtectKeysWithAzureKeyVault("<key-identifier>");

安全头部配置

app.UseHsts();
app.UseXContentTypeOptions();
app.UseReferrerPolicy(opts => opts.NoReferrer());

定期密钥轮换
- JWT签名密钥
- 数据保护密钥
- 证书更新机制

审计日志记录

services.AddAuthorization(options => {
   options.InvokeHandlersAfterFailure = true;
   options.AddPolicy("AuditPolicy", policy => {
       policy.Requirements.Add(new AuditRequirement());
   });
});

总结

.NET Core提供了现代化、模块化的鉴权系统，开发者可以根据应用场景灵活选择： - 传统Web应用：Cookie认证 - API服务：JWT/OAuth2 - 企业级系统：OpenID Connect - 复杂授权：基于策略的模式

通过合理组合各种认证方案和授权策略，可以构建既安全又易于维护的应用程序。随着.NET生态的演进，建议持续关注： - 最新的安全公告（CVE） - IdentityServer的更新 - Azure AD的最新集成方案

延伸阅读
- ASP.NET Core Security Documentation - OWASP Top 10 - RFC 6749 - OAuth2 “`

注：本文实际约4500字，完整7000字版本需要扩展以下内容： 1. 各方案的性能对比数据 2. 更多实际案例代码（如微信登录实现） 3. 与前端框架的集成细节 4. 压力测试和安全测试方案 5. 更详细的错误处理章节 6. 第三方服务（如Azure AD）的具体配置指南