ASP.NET Core 中，认证（Authentication）和授权（Authorization）

在 ASP.NET Core 中，认证（Authentication）和授权（Authorization）是两个非常重要的概念。它们确保用户能够安全地访问应用程序，并且在访问过程中能按其权限被正确地控制。接下来，我将详细解释这两个概念，并且如何在 ASP.NET Core 中实现它们。

1. 认证（Authentication）

认证是指验证用户的身份，确保用户是他们声称的身份。在 ASP.NET Core 中，认证通常使用 Cookie、JWT（JSON Web Tokens）、OAuth2、OpenID Connect 等方式实现。

认证的基本流程：

1. 用户输入凭证（用户名、密码、Token等）。

2. 系统验证凭证是否有效。

3. 如果凭证有效，生成一个身份标识（如 JWT 或 Cookie），并将其返回给用户。

4. 用户在后续请求中附带此标识来证明自己的身份。

ASP.NET Core 提供了几种认证机制：

• Cookie Authentication：使用 Cookie 来保存用户的身份标识，适用于传统的基于会话的 Web 应用。

• JWT Bearer Authentication：使用 JSON Web Token（JWT）进行认证，常用于基于 API 的应用程序（如 SPA 或移动应用）。

• OAuth2 / OpenID Connect：授权框架，用于实现第三方认证（例如 Google、Facebook 登录等）。

示例：JWT 认证

在 ASP.NET Core 中配置 JWT 认证的步骤如下：

1. 安装必要的 NuGet 包：

   dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer
   

2. 配置 Startup.cs 中的认证服务：

   public void ConfigureServices(IServiceCollection services)
   {
       services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
               .AddJwtBearer(options =>
               {
                   options.RequireHttpsMetadata = false;
                   options.SaveToken = true;
                   options.TokenValidationParameters = new TokenValidationParameters
                   {
                       ValidateIssuer = true,
                       ValidateAudience = true,
                       ValidateLifetime = true,
                       ValidIssuer = Configuration["Jwt:Issuer"],
                       ValidAudience = Configuration["Jwt:Audience"],
                       IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:SecretKey"]))
                   };
               });
   }
   

3. 在 Configure 方法中启用认证：

   public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
   {
       app.UseAuthentication();
       app.UseAuthorization();
   }
   

4. 生成 JWT Token： 在 Controller 中生成 JWT Token（通常是登录接口中）：

   public IActionResult Login([FromBody] LoginModel model)
   {
       var claims = new[]
       {
           new Claim(ClaimTypes.Name, model.Username),
           new Claim(ClaimTypes.Role, "Admin")
       };
   
       var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your_secret_key_here"));
       var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
       var token = new JwtSecurityToken(
           issuer: "your_issuer",
           audience: "your_audience",
           claims: claims,
           expires: DateTime.Now.AddMinutes(30),
           signingCredentials: creds
       );
   
       return Ok(new { Token = new JwtSecurityTokenHandler().WriteToken(token) });
   }
   

2. 授权（Authorization）

授权是指验证用户是否具有访问特定资源的权限。授权决定了认证用户可以执行哪些操作，访问哪些资源。

ASP.NET Core 的授权可以基于角色、策略或基于要求的授权。

角色授权：

最常见的授权方式是基于角色的授权，用户具有某些角色，系统根据角色来决定是否允许访问资源。

在控制器中使用 [Authorize] 特性进行角色授权：

[Authorize(Roles = "Admin")]
public IActionResult AdminOnly()
{
    return View();
}

策略授权：

策略授权允许你根据自定义的逻辑进行授权，通常结合策略处理更加复杂的授权需求。

1. 创建一个自定义策略：

   public class MinimumAgeRequirement : IAuthorizationRequirement
   {
       public int MinimumAge { get; }
       public MinimumAgeRequirement(int minimumAge)
       {
           MinimumAge = minimumAge;
       }
   }
   

2. 实现一个授权处理程序：

   public classMinimumAgeHandler : AuthorizationHandler<MinimumAgeRequirement>
   {
       protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, MinimumAgeRequirement requirement)
       {
           var user = context.User;
           var birthdateClaim = user.FindFirst(c => c.Type == "Birthdate");
   
           if (birthdateClaim != null)
           {
               var birthdate = DateTime.Parse(birthdateClaim.Value);
               var age = DateTime.Today.Year - birthdate.Year;
   
               if (age >= requirement.MinimumAge)
               {
                   context.Succeed(requirement);
               }
           }
   
           return Task.CompletedTask;
       }
   }
   

3. 在 Startup.cs 中注册授权策略：

   public void ConfigureServices(IServiceCollection services)
   {
       services.AddAuthorization(options =>
       {
           options.AddPolicy("Over18", policy =>
               policy.Requirements.Add(new MinimumAgeRequirement(18)));
       });
       services.AddSingleton<IAuthorizationHandler, MinimumAgeHandler>();
   }
   

4. 在控制器中使用策略授权：

   [Authorize(Policy = "Over18")]
   public IActionResult RestrictedContent()
   {
       return View();
   }
   

3. 区别与结合

• 认证：通过验证用户身份来确认用户是谁，通常通过 Cookie 或 Token 来维持。

• 授权：根据用户的角色或权限，决定是否允许其执行某些操作或访问某些资源。

这两者通常是配合使用的，认证用于确认用户身份，授权用于控制其能访问哪些资源或执行哪些操作。

4. 总结

在 ASP.NET Core 中，认证和授权是保障 Web 应用安全的关键部分。你可以根据应用的需求选择不同的认证和授权方式。例如，如果你有一个 API，你可能会选择使用 JWT 认证，而对于 Web 应用则可能会使用 Cookie 认证。而授权则可以通过角色、策略等多种方式进行。通过合理配置认证和授权，可以确保应用程序安全，并且按照最小权限原则来控制用户的访问。