【.NET Core项目实战-统一认证平台】第十二章授权篇-深入理解JWT生成及验证流程...

上篇文章介绍了基于Ids4密码授权模式，从使用场景、原理分析、自定义帐户体系集成完整的介绍了密码授权模式的内容，并最后给出了三个思考问题，本篇就针对第一个思考问题详细的讲解下Ids4是如何生成access_token的，如何验证access_token的有效性，最后我们使用.net webapi来实现一个外部接口（本来想用JAVA来实现的，奈何没学好，就当抛砖引玉吧，有会JAVA的朋友根据我写的案例使用JAVA来实现一个案例）。
.netcore项目实战交流群（637326624），有兴趣的朋友可以在群里交流讨论。

一、JWT简介

什么是JWT？
JSON Web Token (JWT)是一个开放标准(RFC 7519)，它定义了一种紧凑的、自包含的方式，用于作为JSON对象在各方之间安全地传输信息。该信息可以被验证和信任，因为它是数字签名的。
什么时候使用JWT？

1）、认证，这是比较常见的使用场景，只要用户登录过一次系统，之后的请求都会包含签名出来的token，通过token也可以用来实现单点登录。

2）、交换信息，通过使用密钥对来安全的传送信息，可以知道发送者是谁、放置消息是否被篡改。

JWT的结构是什么样的？

JSON Web Token由三部分组成，它们之间用圆点(.)连接。这三部分分别是：

Header
Payload
Signature

Header
header典型的由两部分组成：token的类型（“JWT”）和算法名称（比如：HMAC SHA256或者RSA等等）。

例如：

640?wx_fmt=png

然后，用Base64对这个JSON编码就得到JWT的第一部分

Payload

JWT的第二部分是payload，它包含声明（要求）。声明是关于实体(通常是用户)和其他数据的声明。声明有三种类型: registered, public 和 private。

Registered claims : 这里有一组预定义的声明，它们不是强制的，但是推荐。比如：iss (issuer), exp (expiration time), sub (subject), aud (audience)等。
Public claims : 可以随意定义。
Private claims : 用于在同意使用它们的各方之间共享信息，并且不是注册的或公开的声明。

下面是一个例子：

640?wx_fmt=png

对payload进行Base64编码就得到JWT的第二部分

注意,不要在JWT的payload或header中放置敏感信息，除非它们是加密的。

Signature

为了得到签名部分，你必须有编码过的header、编码过的payload、一个秘钥，签名算法是header中指定的那个，然对它们签名即可。

例如：HMACSHA256(base64UrlEncode(header) + "." + base64UrlEncode(payload), secret)

签名是用于验证消息在传递过程中有没有被更改，并且，对于使用私钥签名的token，它还可以验证JWT的发送方是否为它所称的发送方。

二、IdentityServer4是如何生成jwt的？

在了解了JWT的基本概念介绍后，我们要知道JWT是如何生成的，加密的方式是什么，我们如何使用自己的密钥进行加密。

IdentityServer4的加密方式？

Ids4目前使用的是RS256非对称方式，使用私钥进行签名，然后客户端通过公钥进行验签。可能有的人会问，我们在生成Ids4时，也没有配置证书，为什么也可以运行起来呢？这里就要讲解证书的使用，以及Ids4使用证书的加密流程。

1、加载证书

Ids4默认使用临时证书来进行token的生成，使用代码 .AddDeveloperSigningCredential()，这里会自动给生成tempkey.rsa证书文件，所以项目如果使用默认配置的根目录可以查看到此文件,实现代码如下：

640?wx_fmt=png

这也就可以理解为什么没有配置证书也一样可以使用了。

注意：在生产环境我们最好使用自己配置的证书。

如果我们已经有证书了，可以使用如下代码实现,至于证书是如何生成的，网上资料很多，这里就不介绍了。

 .AddSigningCredential(new X509Certificate2(Path.Combine(basePath,"test.pfx"),"123456"));

然后注入证书相关信息，代码如下：

builder.Services.AddSingleton<ISigningCredentialStore>(new DefaultSigningCredentialsStore(credential));builder.Services.AddSingleton<IValidationKeysStore>(new DefaultValidationKeysStore(new[] { credential.Key }));

后面就可以在项目里使用证书的相关操作了，比如加密、验签等。

2、使用证书加密

上篇我介绍了密码授权模式，详细的讲解了流程，当所有信息校验通过，Claim生成完成后，就开始生成token了，核心代码如下。

640?wx_fmt=png

知道了这些原理后，我们就能清楚的知道access_token都放了那些东西，以及我们可以如何来验证生成的Token。

三、如何验证access_token的有效性？

知道了如何生成后，最主要的目的还是要直接我们服务端是如何来保护接口安全的，为什么服务端只要加入下代码就能够保护配置的资源呢？

640?wx_fmt=png

在理解这个前，我们需要了解系统做的验证流程，这里使用一张图可以很好的理解流程了。

640?wx_fmt=png
看完后是不是豁然开朗？这里就可以很好的理解/.well-known/openid-configuration/jwks原来就是证书的公钥信息，是通过访问/.well-known/openid-configuration暴露给所有的客户端使用，安全性是用过非对称加密的原理保证，私钥加密的信息，公钥只能验证，所以也不存在密钥泄漏问题。

虽然只是短短的几句代码，就做了那么多事情，这说明Ids4封装的好，减少了我们很多编码工作。这是有人会问，那如果我们的项目不是.netcore的，那如何接入到网关呢？

网上有一个Python例子，用 Identity Server 4 (JWKS 端点和 RS256 算法) 来保护 Python web api.

本来准备使用Java来实现，好久没摸已经忘了怎么写了，留给会java的朋友实现吧，原理都是一样。

下面我就已webapi为例来开发服务端接口，然后使用Ids4来保护接口内容。

新建一个webapi项目，项目名称Czar.AuthPlatform.WebApi，为了让输出的结果为json，我们需要在WebApiConfig增加config.Formatters.Remove(config.Formatters.XmlFormatter);代码，然后修改默认的控制器ValuesController，修改代码如下。

640?wx_fmt=png