ASP.NET Core 身份验证与授权 Authentication & Authorization 实战指南

caifox菜狐狸

于 2025-06-01 11:07:11 发布

阅读量919

点赞数 7

CC 4.0 BY-SA版权

分类专栏： C# 技术使用笔记文章标签： asp.net core JWT Authentication Authorization 身份验证角色授权

本文链接：https://blog.csdn.net/caifox/article/details/148040737

在当今数字化时代，网络应用的安全性至关重要。身份验证（Authentication）和授权（Authorization）是保护应用免受未授权访问的核心机制。身份验证用于验证用户的身份，而授权则决定用户可以访问哪些资源。ASP.NET Core 作为微软强大的 Web 开发框架，提供了丰富而灵活的身份验证与授权功能，帮助开发者构建安全可靠的应用程序。

无论是开发企业级 Web 应用，还是构建面向公众的 RESTful API，掌握 ASP.NET Core 的身份验证与授权机制都是必不可少的技能。本文将深入探讨 ASP.NET Core 中的身份验证与授权技术，从基础概念到实际应用，涵盖多种身份验证方式（如 Cookie 和 JWT）以及授权策略的实现。通过详细的代码示例和配置说明，读者将能够快速上手并实现安全的访问控制。

无论你是 ASP.NET Core 的新手，还是有一定经验的开发者，本文都将为你提供实用的知识和技巧，帮助你在开发过程中更好地保护应用的安全性。让我们一起深入探索 ASP.NET Core 的身份验证与授权世界，构建更加安全、高效的 Web 应用。

1. ASP.NET Core 身份验证与授权概述

1.1 身份验证与授权的概念

身份验证（Authentication）是验证用户身份的过程，确保用户是他们声称的那个人。授权（Authorization）则是决定用户是否有权限访问特定资源或执行特定操作的过程。身份验证是授权的前提，只有经过身份验证的用户，才会进入授权流程。身份验证通常通过用户名和密码、数字证书、指纹等方式完成。授权则基于用户的角色、权限组或特定的授权策略来决定用户可以访问哪些资源。

1.2 ASP.NET Core 中的身份验证与授权机制

ASP.NET Core 提供了一套灵活且强大的身份验证与授权机制，支持多种身份验证方式和授权策略，能够满足不同应用场景的需求。

身份验证机制

ASP.NET Core 支持多种身份验证方式，常见的有：

Cookie 身份验证：通过在客户端存储 Cookie 来维护用户的登录状态，适用于传统的 Web 应用。
JWT（JSON Web Token）身份验证：通过生成和验证 JWT 来实现无状态的身份验证，适合分布式系统和 API 网关。
OAuth 2.0 和 OpenID Connect：用于第三方登录，如通过 Google、Facebook 等账号登录，支持多种授权流程。
Windows 身份验证：在企业内部网络中，利用 Windows 域账号进行身份验证，适合内部应用。

ASP.NET Core 的身份验证通过中间件来实现，开发者可以在 Startup.cs 或 Program.cs 中配置身份验证服务和中间件。例如，配置 JWT 身份验证的代码如下：

services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(options =>
{
    options.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = true,
        ValidateAudience = true,
        ValidateLifetime = true,
        ValidateIssuerSigningKey = true,
        ValidIssuer = "your-issuer",
        ValidAudience = "your-audience",
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your-secret-key"))
    };
});

授权机制

ASP.NET Core 的授权机制基于策略（Policy）和要求（Requirement），支持基于角色、基于声明和自定义授权策略。

基于角色的授权：通过检查用户的角色来决定是否授权。例如，使用 [Authorize(Roles = "Admin")] 属性来限制只有 Admin 角色的用户才能访问某个控制器或操作。
基于声明的授权：通过检查用户声明（Claims）来授权。声明是用户身份信息的一部分，如用户的姓名、年龄、邮箱等。例如，使用 [Authorize(Policy = "MinimumAge")] 属性，并在策略中定义用户年龄必须大于 18 岁。
自定义授权策略：开发者可以创建自定义的授权要求和处理器，实现复杂的授权逻辑。例如，创建一个 MinimumAgeRequirement 类，并实现对应的 AuthorizationHandler，然后在 Startup.cs 中注册策略：

services.AddAuthorization(options =>
{
    options.AddPolicy("MinimumAge", policy =>
        policy.Requirements.Add(new MinimumAgeRequirement(18)));
});

ASP.NET Core 的身份验证与授权机制通过中间件和策略的灵活组合，能够满足各种复杂的应用场景需求，为开发者提供了强大的安全保障。

2. 身份验证机制

2.1 基于 Cookie 的身份验证

基于 Cookie 的身份验证是 ASP.NET Core 中一种常见的身份验证方式，适用于传统的 Web 应用。它通过在客户端存储一个 Cookie 来维护用户的登录状态，当用户访问受保护的资源时，服务器会通过验证 Cookie 来确认用户的身份。

工作原理
- 当用户登录成功后，服务器会创建一个包含用户身份信息的 Cookie，并将其发送给客户端。客户端浏览器会将这个 Cookie 存储起来，并在后续的请求中自动将其发送回服务器。
- 服务器接收到请求后，会解析 Cookie 中的身份信息，验证其有效性。如果验证通过，则认为用户已经通过身份验证，允许访问受保护的资源。
- 例如，当用户访问一个需要登录才能访问的页面时，服务器会检查请求中是否包含有效的身份验证 Cookie。如果存在且有效，服务器会允许用户访问该页面；否则，会将用户重定向到登录页面。
配置方法
- 在 ASP.NET Core 应用中，可以通过在 Startup.cs 或 Program.cs 中配置 Cookie 身份验证服务来启用基于 Cookie 的身份验证。以下是配置代码示例：

services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.LoginPath = "/Account/Login"; // 登录页面的路径
        options.LogoutPath = "/Account/Logout"; // 注销页面的路径
        options.ExpireTimeSpan = TimeSpan.FromMinutes(30); // Cookie 的过期时间
    });

在上述代码中，LoginPath 指定了用户未通过身份验证时被重定向到的登录页面路径；LogoutPath 指定了用户注销时的路径；ExpireTimeSpan 设置了 Cookie 的过期时间，这里设置为 30 分钟。
通过这种方式，开发者可以方便地配置基于 Cookie 的身份验证行为，满足应用的需求。

安全性考虑
- Cookie 存储在客户端，因此存在被篡改或窃取的风险。为了提高安全性，ASP.NET Core 对 Cookie 进行了加密和签名处理，确保其内容的完整性和机密性。
- 开发者还可以通过设置 Cookie 的 Secure 和 HttpOnly 属性来增强安全性。Secure 属性确保 Cookie 只通过 HTTPS 协议传输，防止在不安全的网络中被窃取；HttpOnly 属性则防止 JavaScript 访问 Cookie，避免因 XSS 攻击导致 Cookie 泄露。
- 例如，在配置 Cookie 身份验证时，可以设置如下属性：
```
options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
options.Cookie.HttpOnly = true;
```
- 这些安全措施可以有效降低基于 Cookie 的身份验证的安全风险，保护用户的身份信息。