|
前言 本文主要介紹JWT的實(shí)戰(zhàn)運(yùn)用。 準(zhǔn)備工作 首先我們創(chuàng)建一個(gè)Asp.Net的，包含MVC和WebApi的Web項(xiàng)目。 然后使用Nuget搜索JWT，安裝JWT類庫(kù)，如下圖。
設(shè)計(jì)思路 這里我們簡(jiǎn)單的做了一個(gè)token驗(yàn)證的設(shè)計(jì)，設(shè)計(jì)思路如下圖所示：
代碼實(shí)現(xiàn) 緩存首先，我們先開(kāi)發(fā)工具類，根據(jù)設(shè)計(jì)思路圖可得知，我們需要一個(gè)緩存類，用于在服務(wù)器端存儲(chǔ)token。 編寫緩存相關(guān)類代碼如下： public class CacheHelper
{
public static object GetCache(string key)
{
return HttpRuntime.Cache[key];
}
public static T GetCache<T>(string key) where T : class
{
return (T)HttpRuntime.Cache[key];
}
public static bool ContainsKey(string key)
{
return GetCache(key) != null;
}
public static void RemoveCache(string key)
{
HttpRuntime.Cache.Remove(key);
}
public static void SetKeyExpire(string key, TimeSpan expire)
{
object value = GetCache(key);
SetCache(key, value, expire);
}
public static void SetCache(string key, object value)
{
_SetCache(key, value, null, null);
}
public static void SetCache(string key, object value, TimeSpan timeout)
{
_SetCache(key, value, timeout, ExpireType.Absolute);
}
public static void SetCache(string key, object value, TimeSpan timeout, ExpireType expireType)
{
_SetCache(key, value, timeout, expireType);
}
private static void _SetCache(string key, object value, TimeSpan? timeout, ExpireType? expireType)
{
if (timeout == null)
HttpRuntime.Cache[key] = value;
else
{
if (expireType == ExpireType.Absolute)
{
DateTime endTime = DateTime.Now.AddTicks(timeout.Value.Ticks);
HttpRuntime.Cache.Insert(key, value, null, endTime, Cache.NoSlidingExpiration);
}
else
{
HttpRuntime.Cache.Insert(key, value, null, Cache.NoAbsoluteExpiration, timeout.Value);
}
}
}
}
/// <summary>
/// 過(guò)期類型
/// </summary>
public enum ExpireType
{
/// <summary>
/// 絕對(duì)過(guò)期
/// 注：即自創(chuàng)建一段時(shí)間后就過(guò)期
/// </summary>
Absolute,
/// <summary>
/// 相對(duì)過(guò)期
/// 注：即該鍵未被訪問(wèn)后一段時(shí)間后過(guò)期，若此鍵一直被訪問(wèn)則過(guò)期時(shí)間自動(dòng)延長(zhǎng)
/// </summary>
Relative,
}如上述代碼所示，我們編寫了緩存幫助類—CacheHelper類。 CacheHelper類：使用HttpRuntime的緩存，類里實(shí)現(xiàn)緩存的增刪改，因?yàn)槭褂玫氖荋ttpRuntime，所以，如果沒(méi)有設(shè)置緩存的超時(shí)時(shí)間，則緩存的超時(shí)時(shí)間等于HttpRuntime.Cache配置的默認(rèn)超時(shí)時(shí)間。 如果網(wǎng)站掛載在IIS里，那么，HttpRuntime.Cache配置超時(shí)時(shí)間的地方在該網(wǎng)站的應(yīng)用程序池中，如下圖：
Jwt的幫助類現(xiàn)在我們編寫Jwt的幫助類，代碼如下： public class JwtHelper
{
//私鑰
public const string secret = "MIGfMA0GCSqGSIb3DQEBAQUAA4GNAmD7RTE2drj6hf3oZjJpMPZUQ1Qjb5H3K3PNwIDAQAB";
/// <summary>
/// <summary>
/// 生成JwtToken
/// </summary>
/// <param name="payload">不敏感的用戶數(shù)據(jù)</param>
/// <returns></returns>
public static string SetJwtEncode(string username,int expiresMinutes)
{
//格式如下
var payload = new Dictionary<string, object>
{
{ "username",username },
{ "exp ", expiresMinutes },
{ "domain", "" }
};
IJwtAlgorithm algorithm = new HMACSHA256Algorithm();
IJsonSerializer serializer = new JsonNetSerializer();
IBase64UrlEncoder urlEncoder = new JwtBase64UrlEncoder();
IJwtEncoder encoder = new JwtEncoder(algorithm, serializer, urlEncoder);
var token = encoder.Encode(payload, secret);
return token;
}
/// <summary>
/// 根據(jù)jwtToken 獲取實(shí)體
/// </summary>
/// <param name="token">jwtToken</param>
/// <returns></returns>
public static IDictionary<string,object> GetJwtDecode(string token)
{
IJsonSerializer serializer = new JsonNetSerializer();
IDateTimeProvider provider = new UtcDateTimeProvider();
IJwtValidator validator = new JwtValidator(serializer, provider);
IBase64UrlEncoder urlEncoder = new JwtBase64UrlEncoder();
IJwtAlgorithm algorithm = new HMACSHA256Algorithm();
IJwtDecoder decoder = new JwtDecoder(serializer, validator, urlEncoder, algorithm);
var dicInfo = decoder.DecodeToObject(token, secret, verify: true);//token為之前生成的字符串
return dicInfo;
}
}代碼很簡(jiǎn)單，實(shí)現(xiàn)了JWT的Code的創(chuàng)建和解析。 注：JWT的Code雖然是密文，但它是可以被解析的，所以我們不要在Code里存儲(chǔ)重要信息，比如密碼。 JWT的Code與解析后的內(nèi)容如下圖所示，左邊未Code，右邊未解析的內(nèi)容。
AuthenticationHelper驗(yàn)證幫助類現(xiàn)在，我們已經(jīng)可以編寫驗(yàn)證類了，利用剛剛已創(chuàng)建的緩存幫助類和JWT幫助類。 AuthenticationHelper驗(yàn)證幫助類代碼如下： public class AuthenticationHelper
{
/// <summary>
/// 默認(rèn)30分鐘
/// </summary>
/// <param name="username"></param>
public static void AddUserAuth(string username)
{
var token = JwtHelper.SetJwtEncode(username, 30);
CacheHelper.SetCache(username, token, new TimeSpan(TimeSpan.TicksPerHour / 2));
}
public static void AddUserAuth(string username, TimeSpan ts)
{
var token = JwtHelper.SetJwtEncode(username, ts.Minutes);
CacheHelper.SetCache(username, token, ts);
}
public static string GetToken(string username)
{
var cachetoken = CacheHelper.GetCache(username);
return cachetoken.ParseToString();
}
public static bool CheckAuth(string token)
{
var dicInfo = JwtHelper.GetJwtDecode(token);
var username = dicInfo["username"];
var cachetoken = CacheHelper.GetCache(username.ToString());
if (!cachetoken.IsNullOrEmpty() && cachetoken.ToString() == token)
{
return true;
}
else
{
return false;
}
}
}如代碼所示，我們實(shí)現(xiàn)了驗(yàn)證token創(chuàng)建、驗(yàn)證token獲取、驗(yàn)證Token校驗(yàn)三個(gè)方法。 到此，我們的基礎(chǔ)代碼已經(jīng)編寫完了，下面進(jìn)入驗(yàn)證的應(yīng)用。 Fliter首先，在Global.asax文件中，為我們WebApi添加一個(gè)過(guò)濾器，代碼如下： public class WebApiApplication : System.Web.HttpApplication
{
protected void Application_Start()
{
AreaRegistration.RegisterAllAreas();
GlobalConfiguration.Configure(WebApiConfig.Register);
//webapiFilter
System.Web.Http.GlobalConfiguration.Configuration.Filters.Add(new HttpPermissionFilter());
System.Web.Http.GlobalConfiguration.Configuration.Filters.Add(new HttpExceptionFilter());
//mvcFliter
System.Web.Mvc.GlobalFilters.Filters.Add(new MvcExceptionFilter());
System.Web.Mvc.GlobalFilters.Filters.Add(new MvcPermissionFilter());
RouteConfig.RegisterRoutes(RouteTable.Routes);
BundleConfig.RegisterBundles(BundleTable.Bundles);
}
}代碼中創(chuàng)建了四個(gè)過(guò)濾器，分別是MVC的請(qǐng)求和異常過(guò)濾器和WebApi的請(qǐng)求和異常過(guò)濾器。 這里我們主要看WebApi的請(qǐng)求過(guò)濾器——HttpPermissionFilter。代碼如下： public class HttpPermissionFilter : System.Web.Http.Filters.ActionFilterAttribute
{
public override void OnActionExecuting(HttpActionContext actionContext)
{
string url ="請(qǐng)求Url" + actionContext.Request.RequestUri.ToString();
var action = actionContext.ActionDescriptor.ActionName.ToLower();
var controller = actionContext.ControllerContext.ControllerDescriptor.ControllerName.ToLower();
if (controller != "login" && controller != "loginout")
{
//客戶端段token獲取
var token = actionContext.Request.Headers.Authorization != null ? actionContext.Request.Headers.Authorization.ToString() : "";
//服務(wù)端獲取token 與客戶端token進(jìn)行比較
if (!token.IsNullOrEmpty() && AuthenticationHelper.CheckAuth(token))
{
//認(rèn)證通過(guò)，可進(jìn)行日志等處理
}
else
{
throw new Exception("Token無(wú)效");
}
}
}
}我們的HttpPermissionFilter類繼承了System.Web.Http.Filters.ActionFilterAttribute，這樣他就可以截獲所有的WebApi請(qǐng)求了。 然后我們重寫了他的OnActionExecuting方法，在方法里，我們查詢到當(dāng)前請(qǐng)求的Controller的名稱，然后對(duì)其進(jìn)行了一個(gè)簡(jiǎn)單的判斷，如果是login（登錄）或loginout（登出），那我們就不對(duì)他的token進(jìn)行驗(yàn)證。如果是其他請(qǐng)求，則會(huì)從請(qǐng)求的Headers的Authorization屬性里讀取token，并使用AuthenticationHelper類對(duì)這個(gè)token進(jìn)行正確性的驗(yàn)證。 WebApi接口現(xiàn)在我們編寫WebApi接口，編寫一個(gè)登錄接口和一個(gè)普通請(qǐng)求接口。 登錄接口：這里我們使用AuthenticationHelper類創(chuàng)建一個(gè)token，并把他存儲(chǔ)到緩存中。 然后再把token返回給調(diào)用者。 普通接口：這里我們不做任何操作，就是簡(jiǎn)單的返回成功，因?yàn)槭欠窨梢栽L問(wèn)這個(gè)接口，已經(jīng)又Filter控制了。 代碼如下: public class LoginController : ApiController
{
public string Get(string username,string pwd)
{
AuthenticationHelper.AddUserAuth(username, new TimeSpan(TimeSpan.TicksPerMinute * 5));//5分鐘
string token = AuthenticationHelper.GetToken(username);
return token;
}
}
public class RequestController : ApiController
{
public string Get()
{
return "請(qǐng)求成功";
}
}測(cè)試頁(yè)面現(xiàn)在我們編寫測(cè)試頁(yè)面，這里我們實(shí)現(xiàn)三個(gè)按鈕，登錄、帶token訪問(wèn)Api、無(wú)token訪問(wèn)Api。 代碼如下： <div>
<script>
$(document).ready(function () {
$("#request").click(function () {
var token = window.localStorage.getItem('token');
if (token) {
$.ajax({
type: "GET",
url: "http://localhost:50525/api/Request",
success: function (data) {
$('#con').append('<div> success：' + data + '</div>');
console.log(data);
},
beforeSend: function (xhr) {
//向Header頭中添加Authirization
xhr.setRequestHeader("Authorization", token);
},
error: function (XMLHttpRequest, textStatus, errorThrown) {
$('#con').append('<div> error：' + errorThrown + '</div>');
}
});
}
else {
alert("token不存在");
}
});
$("#requestNotoken").click(function () {
var token = window.localStorage.getItem('token');
if (token) {
$.ajax({
type: "GET",
url: "http://localhost:50525/api/Request",
success: function (data) {
$('#con').append('<div> success：' + data + '</div>');
console.log(data);
},
error: function (XMLHttpRequest, textStatus, errorThrown) {
$('#con').append('<div> error：' + errorThrown + '</div>');
}
});
}
else {
alert("token不存在");
}
});
$("#login").click(function () {
$.ajax({
type: "GET",
url: "http://localhost:50525/api/Login/?username=kiba&pwd=518",
success: function (data) {
$('#con').append('<div> token：' + data + '</div>');
console.log(data);
window.localStorage.setItem('token', data)
}
});
});
});
</script>
<h1>測(cè)試JWT</h1>
<button id="login">登錄</button>
<button id="request">帶token訪問(wèn)Api</button>
<button id="requestNotoken">無(wú)token訪問(wèn)Api</button>
<div id="con"></div>
</div>測(cè)試結(jié)果如下：
如上圖所示，我們已經(jīng)成功實(shí)現(xiàn)簡(jiǎn)單的token驗(yàn)證。 ---------------------------------------------------------------------------------------------------- 到此JWT的實(shí)戰(zhàn)應(yīng)用就已經(jīng)介紹完了。 代碼已經(jīng)傳到Github上了，歡迎大家下載。 Github地址： https://github.com/kiba518/JwtNet ---------------------------------------------------------------------------------------------------- 注：此文章為原創(chuàng)，任何形式的轉(zhuǎn)載都請(qǐng)注明出處！ |
|
|
