ASP.NET核心中的Jwt令牌认证
ASP.NET Core中的Jwt令牌认证是一种基于JSON Web Token（JWT）的身份验证方法。JWT是一种开放标准（RFC 7519），用于在不同实体之间安全地传输信息。它由三部分组成：头部、载荷和签名。
头部指定了令牌的类型和所使用的加密算法，常见的加密算法包括HMAC和RSA。
载荷包含了一些被称为声明的信息，这些声明可以包括用户的身份信息、权限和其他相关的元数据。JWT使用Base64URL编码对载荷进行编码，但不加密。因此，任何人都可以解码JWT，但只有知道签名密钥的人才能验证和信任令牌。
签名使用头部和载荷以及一个密钥生成，以确保JWT在传输过程中没有被篡改。接收令牌的服务器可以使用相同的密钥来验证签名，从而确认令牌的合法性。
Jwt令牌认证在ASP.NET Core中的应用场景非常广泛。它可以用于用户身份验证和授权，使得用户可以通过提供有效的令牌来访问受保护的资源。Jwt令牌可以在前后端之间进行安全传输，并且可以避免每次请求都需要进行身份验证的问题，提高了性能和扩展性。
腾讯云提供了一系列与Jwt令牌认证相关的产品和服务，包括：
- 腾讯云API网关：提供了强大的API管理和访问控制功能，支持Jwt令牌认证，可以轻松地保护和控制访问API资源。
- 产品介绍链接：https://cloud.tencent.com/product/apigateway
- 腾讯云身份认证服务CAM：CAM提供了丰富的身份认证和访问控制功能，支持多种身份验证方式，包括Jwt令牌认证。
- 产品介绍链接：https://cloud.tencent.com/product/cam
通过使用这些腾讯云的产品和服务，开发人员可以方便地实现Jwt令牌认证，并保护和控制他们的应用程序和API资源的访问。
相关·内容
2回答
我正在使用ASP.NET Core WebAPI (.NET 6.0)
我想使用谷歌在上共享的指导方针来实现谷歌认证
我对这个过程的理解是--我从我的WebAPI (VueJS)请求从谷歌获得一个JWT --将JWT发送到WebAPI以进行验证。
为了进行验证，我似乎需要按照上共享的准则编写一些代码。
然后，我使用存储在DB中的详细信息、角色信息和声明为用户创建一个新的JWT，并将其发送回客户端。
客户端将新的JWT保存到本地存储，并继续为每个新的API请求发送它。
整个过程有点像重新发明轮子，是否有一种更标准的方法来处理WebAPI部件？
浏览 1提问于2021-12-28得票数 3
在我的asp.net核心REST配置中有以下代码：
services
.AddAuthentication(options => { options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme; })
.AddJwtBearer(options =>
{
options.Authority = "https://login.microsoftonline.com/XXXTenantIDXXX";
options.Audie
浏览 3提问于2018-11-16得票数 1
回答已采纳
1回答
我正在构建一个ASP.NET核心web应用程序和角度，我想使用基于令牌的身份验证来保护它。我对身份验证机制比较陌生，所以我没有什么需要澄清的。 我决定使用本教程中的链接https://medium.com/c-sharp-progarmming/asp-net-core-5-jwt-authentication-tutorial-with-example-api-aa59e80d02da来使用基于jwt令牌的身份验证。 我还读到了另一个教程，它解释了使用owin https://www.c-sharpcorner.com/UploadFile/ff2f08/token-based-authe
浏览 11提问于2021-11-03得票数 1
回答已采纳
我正在用客户端编写一个ASP.NET核心(2.2)应用程序。对于身份验证，我使用JWT令牌验证:一个"Login“端点发出JWT令牌，然后显示在Authorization: Bearer xxxxx头中。
当ASP.NET应用程序和Web客户端独立运行时，一切正常工作，即当我在Visual中启动ASP.NET应用程序并在不同端口上使用ng serve运行Web客户端时。
当我将编译器web客户端复制到wwwroot目录中时，JWT令牌验证失败。
Login调用仍然成功，并返回一个JWT令牌。但是Authorization头中带有令牌的下一次调用失败。日志只提供：
比勒没有经过认证。失败
浏览 1提问于2019-10-19得票数 1
1回答
我在ASP.NET核心中实现了一个JWT认证和一个基于策略的授权。有一个具有管理权限的用户可以将权限分配给非管理用户。如果管理员更新非管理用户的权限/声明，是否有一种方法强制使访问令牌过期，从而迫使携带该令牌的用户使用新更新的权限/声明请求一个新的访问令牌？现在，唯一的方法是等待令牌过期，但我想强制它立即过期。
浏览 0提问于2019-12-06得票数 2
我已经看过很多文章，所以我的需求是问答来找到我的problem.Below的解决方案。
一旦用户浏览角应用程序，我需要认证和获取用户名和电子邮件。
认证是通过外部系统实现的，基本上是一个Api，它返回jwt令牌，解码后我们将得到json形式的信息。
我的问题是，在角度应用程序(前端)或asp.net核心(后端)中，我应该在哪里调用api。我打电话到asp.net的核心端，因为我需要检索和存储用户名和电子邮件。
所以，如果我在.net核心级别调用api，它是在startup.cs中吗?如果是，那么如何解码或使用jwt，获取信息并插入到db中。
试图找出解决方案，
浏览 0提问于2019-05-09得票数 0
我正在运行一个角2网络应用程序的前端。在使用Gmail登录后，我将在每次使用.NET承载身份验证请求时将令牌发送给我的ASP JWT Core。我的疑问是，在使用asp.net核心中的google认证令牌之后，我如何访问用户信息？
浏览 0提问于2017-11-10得票数 4
回答已采纳
1回答
Asp.Net核心与WIF配置
、、、、
我开始尝试将几个web应用程序转换成Asp.Net核心。我从创建一个只有一个页面的网站开始，并将其安装在服务器上，然后我意识到您需要一个shim来让它与IIS一起工作。好吧，所有的设备都安装好了。
现在，我想取下控制器，并要求验证才能访问它。我已经实现了一个用于验证用户身份的自定义STS，我希望在我的Asp.Net核心应用程序中使用它来进行身份验证。这个STS创建一个JWT，在我的其他应用程序中我使用WIF。
我不明白如何配置Asp.net核心应用程序以使它能够利用WIF。今天，在我的Asp.Net MVC应用程序中，我在Application_Start中添加了一行：
FederatedAu
浏览 1提问于2017-05-11得票数 1
回答已采纳
我有用RESTful核心编写的小型ASP.NET API，我正在研究如何使用Active向其添加身份验证。我必须使用我们公司的服务器来使用AD进行身份验证，但是我没有看到任何关于如何做到这一点的教程。
我猜JWT身份验证不是我想要的，或者我可能错了并且误解了一些东西。在认证方面，我完全是个菜鸟。
我知道我们已经在我们的一个nodejs项目中解决了这个问题，但它并不是那么直接。我希望能在这件事上提供任何帮助。
浏览 3提问于2017-06-28得票数 0
回答已采纳
1回答
我读过几篇文章，这些文章介绍了刷新令牌和JWT令牌的设置
在如何/何时获得下一个JWT令牌方面有最佳实践吗？
在我看来，有几种不同的方法。我将无视这篇文章的授权。
登录和认证
在每个服务器请求中，提取一个新的JWT并刷新cookie令牌。
或
登录和认证
如果对服务器的请求由于未经身份验证而失败，则尝试获取新令牌。如果这是成功的，重复原始请求，否则，假设没有登录。
另一种方法是
登录和认证
有一个轮询任务，每n分钟执行一次。在JWT到期之前，刷新并提取一个新令牌。
我知道，在软件中，我们有能力根据我们试图解决的问题，以不同的方式来处理问题。但是，它确实觉得这一定是软件社区已经尝试和测试过的东西
浏览 0提问于2021-10-25得票数 0
回答已采纳
2回答
通过JWT令牌进行授权
、、、、
带有ASP.NET标识3.0的ASP.NET核心5，我同时使用网页和apis。我使用OpenIddict来发出JWT令牌并进行身份验证。我的代码看起来如下：
X509Certificate2 c = new X509Certificate2(@"tokensign.p12", "MyCertificatePassword");
services.AddOpenIddict<WebUser, IdentityRole<int>, WebDbContext, int>()
.EnableTokenEndpoi
浏览 3提问于2016-07-23得票数 7
回答已采纳
我已经创建了一个ASP.NET应用程序和一个Azure域。目前，我已经设置了ASP.NET auth来访问Azure-AD中的wsfed端点。一切都很好，但问题是，这会发出SAML令牌，而我需要一个JWT。根据我在网上搜索后所读到的内容，我需要对我的Azure-AD域的OAuth 2.0端点进行身份验证。这样做的问题是，所有配置都是这样的，我总是从这个端点得到一个400，这可能是因为我的配置文件都是为because设置的。我的问题是如何配置我的ASP.NET应用程序，以便它能够与我的Azure域的OAuth 2.0端点对话？
我需要使用被动认证。
浏览 1提问于2014-06-23得票数 0
回答已采纳
对不起，我的英语不好。我正在使用客户端的Vue.JS在ASP.NET核心中编写一个应用程序。对于认证用户，我使用JWT和ASP.NET身份。我有一个更改密码的方法。但是我不明白:更改密码后如何使令牌失效？我希望在另一个浏览器中通过身份验证的用户将在此之后注销。有没有人有这样的问题？
浏览 1提问于2019-04-02得票数 0
身份验证对我来说有点过头了。
我的理解是：
客户端执行登录。
API或身份验证服务器使用令牌进行响应。
客户端调用API (包括保存令牌的标头)
API检查令牌是否有效，以及是否有效地使用资源进行响应。
我检查了几个选项：
IdentityServer4
具有像Facebook这样易于实现第三方认证的优点。您可以很容易地根据角色使用ASP.NET核心标识来授权您的API。
定制(简单) JWT身份验证
参考资料：
使用这种方法，您必须创建自己的身份用户并从数据库中获取它。
Cookie认证
客户端在cookie中保存令牌，当发送请求时，您也必须发送它。
我的前端是用J
浏览 5提问于2016-11-11得票数 23
回答已采纳
我有一个带有web的ASP.NET Core2.2MVC应用程序。我对MVC页面使用cookie auth，对API使用JWT Bearer。我遵循了描述的解决方案，该解决方案基于
当我想添加授权策略以确保通过身份验证的用户可以访问整个站点时，问题就来了。
services.AddMvc(config =>
{
var policy = new AuthorizationPolicyBuilder()
.RequireAuthenticatedUser()
浏览 1提问于2019-08-08得票数 0
回答已采纳
在处理基于浏览器的应用程序时，已经就安全存储JWT令牌的主题提出了许多问题。大家的共识似乎是，应该使用http专用的安全cookies。但是，在存储JWT令牌时，似乎存在许多变化，因为这涉及到短暂的访问令牌和更长时间的刷新令牌。
我确定了以下几种不同的变化：
1.将JWT访问令牌和刷新令牌存储在仅限于http的安全cookie中。
优点：
访问令牌和刷新令牌不能从Javascript访问。
缺点：
引入CSRF漏洞，因此也必须添加CSRF令牌。
这里的顶部建议添加CSRF令牌：
2.在内存中存储JWT访问令牌，并将刷新令牌存储在仅限于http的安全cookie中。
优点
浏览 6提问于2021-12-10得票数 5
1回答
我想保护我的Azure WebApi与第三方供应商(FB，G+.我只需要一封有效的电子邮件)。在web项目中，它似乎将与Jwt中间件结合使用，但我想知道是否也可以只使用Azure来完成同样的任务。
Azure认证让我有点困惑--它似乎没有给我的Asp.Net Web应用提供任何东西。我仍然需要配置Startup.cs中的所有中间件，如果完全关闭身份验证，应用程序仍然可以正常工作。
我可以做Auth0做的同样的事情--基于来自FB或G+的访问令牌来发布自己的Jwt令牌--但希望避免这种情况。
请你指出正确的方向好吗？
浏览 2提问于2016-02-11得票数 0
回答已采纳
1回答
IDX10503:的签名验证失败
、、、、
我有一个ASP.NET核心WebApi，它使用Azure AD Bearer令牌(通过前端传递，使用adal.js获取)。
目前，我们正在使用Azure API，一切都很好。
作为，我们希望从Azure迁移到Microsoft。
在API和前端中，我都将听众从改为了。我可以成功地获得一个令牌，它在jwt.io中解密时看起来与旧令牌几乎相同，但是当我将它传递给API时，我会得到：
持票人没有经过认证。失败消息: IDX10503:签名验证失败。密钥尝试：'Microsoft.IdentityModel.Tokens.X509SecurityKey
我错过了什么吗？据我所知，在使用
浏览 0提问于2018-07-12得票数 0
回答已采纳
1回答
如何为微服务和用户传递JWT
、、、、
我正在构建一个基于微服务体系结构的系统。微服务是使用Asp.Net Core3.1创建的。
以下是一个简化的高级图表：
我希望在这个系统中有两个级别的安全：
微服务认证
当ApiGateway接收到请求时，它从InternalAuthService接收到一个"microservice JWT“，并在通过http向其他微服务发送请求时将该JWT包含在授权头中。此JWT包含一个或多个索赔，这些索赔被微服务用于决定请求是否应被接受或拒绝。
InternalAuthService是使用IdentityServer实现的，现在它似乎运行得很好。这意味着，如果CustomerServic
浏览 1提问于2020-01-21得票数 1
我的用户在线登录SharePoint并进行身份验证。
我有一个定制的Web应用程序，我的客户端调用它。
我想绝对确切地知道哪个用户正在调用我的API.
到目前为止，我的想法是在SharePoint (成功)中的cookie中找到JWT，它声明了登录的人。通过将它发送到我的自定义API中，我可以合理地知道是谁在调用，但我如何信任它呢？
我可以以某种方式验证JWT，即使它不是由我发布的？
还有其他的想法来实现同样的目标吗？(注意，我不想在我的web应用程序中引入Azure认证。我想在一个API调用中识别用户，而不必先重定向)
FYI:这是登录到SharePoint后发布的JWT的头：
{
&#
浏览 0提问于2018-01-10得票数 1
回答已采纳
1回答
我需要保护REST，因为我在一个简单的REST上使用了JWT身份验证。在完成JWT身份验证之后，我需要一些问题的答案，如果有人能在这里帮助我，那就太好了。以下是问题：
基于令牌的认证如何比基本的authentication?What更安全是检验令牌有效性的标准？令牌生成算法是JWT？，令牌在哪里/如何是compared/Verified?？
浏览 4提问于2020-06-27得票数 0
1回答
我想通过认证令牌(JWT)在傀儡头，为pdf视图与无头铬在我的应用程序？我们使用react作为前端用户界面。使用傀儡，我们可以生成pdf，但是我们需要使用JWT授权的pdf链接--我们如何在页眉中传递jwt，木偶师是否支持标题中的Auth令牌？请帮帮忙。
谢谢
浏览 0提问于2019-04-24得票数 6
回答已采纳
3回答
多个服务的一个JWT令牌
、、、、
我面临着ASP.Net核心中JWT身份验证的问题。情况如下：
我有一个ASP.NET Core，让我们称它为‘API’。对于提供正确登录/密码的用户来说，生成JWT令牌是合理的，而令牌是生成的。
我有第二个ASP.NET Core，名为‘Api’，它从数据库返回一些数据。我希望能够使用由'API A‘生成的JWT令牌来授权从'API B’访问数据。
是否可以通过使用JwtBarear身份验证来实现？
谢谢你的建议！
浏览 0提问于2018-03-30得票数 2
2回答
我正在做一个项目，我们有谷歌现有的登录，我们想要转换到AWS认知，以便我们可以获得用户名和密码认证，以及其他社会登录，如Facebook在不久的将来。在API的一个特性分支中，我们通过JWT进行了认知认证。我当前的问题是将Google身份验证响应负载交换给科尼图的JWT。
在我们的JavaScript中，我能够获得一个包含tokenId字段的Google身份验证响应对象。我的理解是，我应该能够将它与认知技术进行交换，以获得它们的JWT，我可以用它与API交互。我在认知用户池中创建并配置了谷歌应用程序。
令人沮丧的是，所有的文档似乎都集中在新的应用程序上，或者仅仅集中在宿主的认知用户界面上。我仔
浏览 1提问于2021-06-05得票数 2
回答已采纳
1回答
我是asp.net核心的新手。我试着用jwt认证和OpenOauth，从Google，Facebook，.
我读过这篇文章：
这篇文章是关于在ASP.Net内核中使用jwt进行身份验证的，但是，我也想验证用户在我的系统中是禁用的还是活动的。
我的db有一个包含4列的表: Id、Name、Password、Status (0 -禁用的\1- Active)。
我怎样才能把我的目标归档？
有人能帮我吗？
P/S :我在谷歌上搜索了关于asp.net中jwt的完整教程，但是很少。欢迎使用完整的认证流程源代码。
浏览 0提问于2016-09-29得票数 1
1回答
Asp.Net核心2验证承载令牌
、、、、
我很难找到一种精确的方法来验证我的OAuth bearer令牌，当请求被发送到Asp.Net core项目时，这个令牌就会被传递。
这里的目的是提取承载令牌并对其进行Validate，如果一切正常，则继续请求。
到目前为止，我的发现如下
JWT支持令牌授权，主要讨论access_token
Asp.Net核心安全中间件
处理此问题的自定义授权属性。
我真的不知道我怎样才能实现我的验证？我应该提取承载令牌，然后创建一个自定义验证方法吗？
理想情况下，希望使用[Authorize]属性来处理这个问题。
请给我建议？
浏览 1提问于2019-07-09得票数 2
回答已采纳
1回答
我使用进行基于令牌的身份验证。
为此，我在路由中使用中间件'jwt.auth‘作为向导。效果很好。
以及用于社会认证的。在这里，我首先使用中间件'auth‘进行了测试，它运行得很好，但是'auth’只是用于社会认证，而不是普通用户。
反之亦然，当我将中间件'auth‘改为'jwt.auth’时，它只适用于普通用户，但不适用于社交诱惑。
我得到了'invalid_token‘错误。
请给我建议，我应该改变什么工作，既为1.正常用户和2.社交诱惑(FB，google..users)。
非常感谢。
浏览 4提问于2016-01-18得票数 0
回答已采纳
我正在建立一个我想要安全的认证系统。我计划使用JWT令牌作为主要的身份验证机制。当令牌过期时，服务器将返回"401未经授权“响应，我希望客户端能够执行无声刷新。这通常是使用刷新令牌完成的。我想知道使用用户密码哈希作为刷新令牌会带来什么安全影响？
除此之外，我还计划在JWT中包含密码哈希。当验证JWT时，我的应用程序将检查JWT中的密码哈希是否与用户当前的密码哈希匹配。如果它们不同，服务器将告诉客户端将用户注销。
在这个过程中是否有我遗漏的安全漏洞？
浏览 0提问于2020-04-15得票数 2
1回答
嗨，我正在开发新的web应用程序，这个应用程序使用jwt认证(令牌和刷新令牌)。一开始，我决定使用blazor框架创建网站，因为我的服务器端开发了.net内核，但现在我发现在blazor服务器应用程序中jwt认证存在很多问题，我发现应该始终使用IJSRuntime，而且我认为这将是未来的一个大问题，尤其是我的web应用程序的性能，我现在很困惑于继续使用blazor或准备使用，请帮助我。
浏览 0提问于2021-07-28得票数 0
我正在开发一个网络应用程序来管理工作中的安全和卫生，这样客户就可以访问有关医疗用品的信息，比如考试、报告、事故、工作能力等等。
像这样的信息是相当敏感的，所以我真的想确保每一条信息都是安全的，以最好的方式。web应用程序是用Asp.Net 5开发的，API是用JWT Core2.0开发的，我使用JWT对用户进行身份验证和授权。
到目前为止，在我的研究中，我发现许多文章都不鼓励使用JWT，还有一些文章指出，如果使用正确，JWT没有什么问题。
优点
基于JWT和CSRF保护的SPA REST认证
REST安全备忘单 (不是真正的“专业人士”，但有助于实现)
缺点
为什么JWTS作为会话令牌失败
使
浏览 0提问于2018-07-02得票数 1
回答已采纳
1回答
如果JWT认证支持多个APIs.So，用户将拥有多个API的相同用户名/密码，并且可以使用相同的令牌同时登录多个API。
我做了很多研究，但仍然找不到任何相关的东西。
浏览 8提问于2020-02-25得票数 1
回答已采纳
2回答
将JWT存储在数据库中有意义吗？
、、、、
我实现了一个基本的认证系统，使用Spring Boot、Spring Security、OAUTH2和JWT作为认证令牌。它工作得很好，但我在想，是否有必要将JWT存储在数据库中，并在每次有人使用令牌进行身份验证请求时检查令牌是否存在？我特别考虑了以下场景:用户在移动设备中进行了身份验证，但他们丢失了身份验证，因此他们希望取消对该设备的授权。然后，他们将能够发出一个操作，该操作清除发放给他们的用户id的令牌，并解除对分配给他的所有令牌的授权。还有别的办法吗？我是不是想错了，还是把事情复杂化了？
这是为了保护将要从移动应用程序调用的REST API。
浏览 0提问于2017-03-13得票数 55
回答已采纳
1回答
在用Hapi编写RESTFUL的过程中，我无法找到API身份验证方法。
假设我们使用的是带有HTTP/1.1的SSL/TLS，那么为什么我们需要类似于JSON (JWT)的东西，其中我们已经有了HTTP基本身份验证。我们可以使用HTTP 保护每个端点，因此我们甚至不需要像'/login'这样的登录路由。
那么，这些认证方案，OAuth和JWT有什么意义呢？
谢谢。
浏览 3提问于2016-06-25得票数 8
回答已采纳
我正在尝试根据我配置身份服务器使用的内容编写一个使用引用令牌或ASP.NET令牌的标识服务器令牌的JWT。IS4的后端配置非常简单，我只是不相信我可以配置2种不同的令牌中间件，我的服务既可以接受它，也知道该做什么。
所以我的想法是：
如果我的API获得了一个jwtToken，它将尝试使用jwt中间件进行身份服务器的授权。
如果我的API获得了一个引用令牌，它就会尝试使用内省中间件将授权返回到身份服务器。
显然，如果为IS4服务上配置的任何内容提供错误类型的令牌，它将失败。
处理令牌端点和撤销端点也应该很容易，这只是我关心的中间件魔术。
我知道通常你不会想这样做，但我们有一个利基
浏览 2提问于2020-08-13得票数 0
我有一个ASP.NET Web，它使用ASP.NET标识来管理用户和角色对API的访问。在我的例子中，我试图创建一个JWT令牌，以便外部公司能够到达我的一个端点。我一直试图使用中显示的代码来创建自己的JWT。我的JWT令牌正在正确解码，但不允许访问我的端点，即使我指定了正确的角色。我想知道在有效负载中是否还需要其他信息，因为系统是基于ASP.NET标识的。
以下是我在JWT中包含的有效载荷()
{
iss: "http://mycompany.com",
name: "Company Test",
role: "CompanyTest"
浏览 3提问于2017-01-16得票数 1
回答已采纳
我想讨论一件事。
假设我有一个经过JWT认证的POST API，假设我想在这个API中使用userId。在这里我可以想到两种方法
要么使用post主体发送userId，然后从JWT令牌本身中提取它。
现在，第二种方法对于一些情况更有意义，比如跟随者followee API。
但我的主要问题是：
1. is going with the extraction from JWT token approach, a significant step toward increasing security?
2. Is there any cons to using this approach?
浏览 1提问于2021-12-24得票数 0
正如我所理解的，OAuth2框架需要一个定制的JWT身份验证服务器，我必须为基于过滤器的JWT实现创建一个带有JWT实用程序类的自定义安全过滤器。
然而，我的问题是，在Spring 2上实现JWT的最佳方法是什么？基于过滤的认证还是OAuth2？
根据客户和应用程序的性质，是否有任何利弊？
例如，如果应用程序管理不同的客户端，如移动、web、web服务等，那么OAuth2身份验证是否具有任何优势？
注意:我的问题与Spring+ web应用程序的安全性有关.
浏览 1提问于2018-06-20得票数 1
1回答
我需要在我的角度前端和ASP.NET Web后端之间建立一个身份验证。
所需经费如下：
我需要两个不同的登录页面(一个带有经典登录屏幕，一个带有经典登录屏幕+ LinkedIn)
我找不到任何关于我该怎么做的最新文件.我看了，但他们使用的包不再支持我的web版本。
我的研究还告诉我，我可能应该使用Jwt，但是我很难在我的web中构建它。
有人能给我适当的文件吗？我知道有一个内置身份验证，但我不知道这个认证有多好，以及您应该如何在JWT中使用它们。我在网上发现的东西都过时了.。
非常感谢你的帮助。
浏览 1提问于2017-04-26得票数 0
1回答
我们使用的是用于实时应用程序和REST的羽毛We - 框架。用户名密码是标识提供程序，我们正在使用它进行JWT身份验证。
我们可以使用JWT，引用链接创建访问令牌- 这个accessToken现在可以用于其他需要认证的REST请求，方法是发送授权:承载HTTP报头。
正如默认情况下所提到的，JWT有效负载中存储羽毛的唯一东西是用户id。它是一个有状态的令牌，但在JWT有效负载中找不到相同的引用。
我们还能够使用链接撤销JWT访问令牌--我们使用的是。
现在的问题是这个JWT访问令牌存储在哪里，这个JWT是无状态的还是状态的。
如果这个JWT是状态的，那么我们真的需要在我们的节点js应用程序中维
浏览 2提问于2020-01-30得票数 0
回答已采纳
我使用django rest social auth进行基于令牌的身份验证(djangorestrframework-jwt)，链接是。在示例中，它在前端使用satelizer(angular的端到端令牌认证模块)进行中间件工作，但是我在drf上使用后端构建android应用程序，因此我被卡住了。有没有人可以帮我做一些android的模块，就像angular中的satelizer一样，或者我应该为此选择一个不同的社交认证，而不是使用rest社交认证。
感谢你的帮助。
浏览 3提问于2016-05-12得票数 2
.NET5有大量用于身份验证的中间件和基础设施。您可以包含一些NuGet包，在Startup.cs中连接一些配置，您的应用程序可以理解cookies和会话。我在网上找到的用于基于JWT的身份验证的所有示例都让我手动实例化一个JwtSecurityDescriptor并在其中设置属性。这确实让人觉得应该是SignInManager.PasswordSignInAsync流的一部分。例如：
我是不是遗漏了什么？在这种情况下，在线示例会跳过几个步骤来“简化”演示吗？前面的每一个示例都手动创建JWT，但将大量解释委托给中间件。
为了澄清，我不需要关于如何验证密码的指导(我使用
浏览 6提问于2021-08-23得票数 0
我正在使用asp.net核心定制单点登录服务。我制作了登录服务器，它在cookie中返回带有验证的JWT令牌。我想将我的web应用程序连接到登录服务器，这样web应用程序就可以识别用户是否是登录服务器登录的。是否可以在web应用程序中使用startup.cs设置来完成此操作？如果是这样，我怎样才能做到呢？我不想把令牌检查过程放在每一个动作中。
提前感谢
浏览 1提问于2021-03-24得票数 0
回答已采纳
2回答
这是我的设计：
1认证服务器，在成功认证时给出JWT令牌。
提供信息的多个API资源服务器(当用户经过身份验证时)。
现在，我想构建我的ASP.NET MVC前端。是否可以将我在身份验证后收到的令牌放在cookie中，这样我就可以使用我需要进行的每个安全调用来访问它了？我使用RestSharp DLL来执行我的http调用。如果它有安全漏洞，那么我应该在哪里存储我的令牌？
我会在cookie中使用以下代码：
System.Web.HttpContext.Current.Response.Cookies.Add(new System.Web.HttpCoo
浏览 4提问于2015-06-29得票数 11
回答已采纳
4回答
我正在开发ASP.NETCoreWebAPI，我对认证方法的选择感到困惑。我曾经应用默认的Asp网络身份验证，但最近我已经了解了JWT。因此，我几乎实现了身份验证，就像本文中所做的那样：。但我无法理解这个JWT的好处。使用简单的Asp网络身份验证，我不关心令牌存储等。我只需要登录到signInManager并使用授权的方法直到注销。对于JWT，我需要考虑令牌存储、过期和其他困难。那么，这个JWT的好处是什么？登录后如何存储此JWT令牌？此外，我应该使用这个JWT吗？在我的例子中，简单的WebApi需要简单的身份验证，这将被一个或更多的用户使用。我还听说过OpenIddict、Auth0、Ide
浏览 2提问于2017-04-15得票数 23
回答已采纳
我想对这两种情况进行鉴定：
WooCommerce使用者密钥，用于系统查询和
用于用户查询的JSON Web令牌(JWT)
我安装了WP的JWT认证。但是，在激活插件之后，以前工作的查询(使用WooCommerce使用者密钥进行身份验证)会失败，原因如下：
{'code': 'jwt_auth_bad_auth_header',
'data': {'status': 403},
'message': 'Authorization header malformed.'}
我如何配置Wordpres
浏览 0提问于2017-10-24得票数 3
回答已采纳
我是新来的认证人员。我有一个应用程序，在登录后，向服务器和服务器发送凭证，生成JWT令牌并将其发送回客户端(移动设备)。
这是我的问题:在JWT可用之后，我应该在哪里存储关于即将到来的请求的信息？例如，如果我想发送一个POST请求，我有两种方法：
将所需信息存储在请求的body上
使用JSON格式在Base64中编码信息后，将其存储在JWT的payload上
也许我错了，而这些不是解决办法。我只想知道这份工作的最佳(标准)方法是什么？
浏览 0提问于2018-05-22得票数 0
回答已采纳
2回答
我对角度开发很陌生，我想知道存储JWT的正确方法是什么？
我正在使用Auth0认证在角6.1单页应用程序中开发应用程序。
身份验证完成后，Auth0返回一个JWT (访问令牌(Jwt))，然后应用程序将其存储在本地存储中。然后，客户端应用程序对api中的授权修饰方法(MVC C#)进行post调用，以验证对api资源的访问。api使用OWIN并进行验证。
虽然访问令牌中有颁发者和访问者的值，这是由OWIN中间件检查的，但我担心的是，任何人是否可以从本地存储访问它，并在以后重新使用它，并通过传递登录过程？
我是否应该将"access_token“存储在服务器端的会话cookie中？
如有
浏览 2提问于2018-09-13得票数 2
1回答
假设您在web平台上有一个现有的用户管理/数据库。为了更快地登录和注册过程，与苹果公司的登录应该集成在一起--尽管它总是会创建一个与电子邮件地址链接的常规帐户(只是没有常规密码)。使用苹果提供的(验证的) JWT认证安全吗？
登录(现有帐户)将采取以下步骤：
用户在应用程序中点击“与苹果登录”
从Apple生成的JWT被发送到身份验证服务器
服务器使用Apple的API端点提供的公钥验证JWT
服务器从(验证的) JWT中提取电子邮件，如果存在该电子邮件的用户，则该用户将被登录(API返回会话的内部访问/刷新令牌)
浏览 2提问于2021-02-10得票数 0
回答已采纳
我有一个ASP.NET Core2.1 WebApi，在其中我实现了JWT身份验证。用户调用api/authentication/authenticate，在消息体中传递他们的用户名/密码，并获得一个JWT作为回报，然后他们使用这个JWT访问服务。
我还需要API来接受api/authentication/windows认证--用户将调用不传递用户信息的web.config，服务将检查它们是否在web.config文件中列出的授权用户列表中(如果我托管在IIS中)。如果是这样的话，返回一个JWT令牌，用户可以使用它访问服务。
目前我在考虑这个..。
api/authentication/w
浏览 2提问于2019-08-29得票数 2
2回答
考虑到PHP中基于JWT令牌的身份验证，我意识到当用于构建API时，不可能在同一个浏览器的不同选项卡中加载相同的页面，因为对服务器的每个请求都需要令牌来验证新选项卡没有的用户。
我目前正在处理的项目不要求我使用cookie，身份验证应该是完全基于令牌的。
我是错过了什么，还是应该这样做？
PS:我在JWT认证中只有2天大
浏览 3提问于2015-12-29得票数 2
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
