# .NET Core如何鑒權
## 目錄
- [引言](#引言)
- [認證與授權基礎概念](#認證與授權基礎概念)
- [.NET Core鑒權體系架構](#net-core鑒權體系架構)
- [常用鑒權方案詳解](#常用鑒權方案詳解)
- [1. Cookie認證](#1-cookie認證)
- [2. JWT認證](#2-jwt認證)
- [3. OAuth2/OpenID Connect](#3-oauth2openid-connect)
- [4. 基于策略的授權](#4-基于策略的授權)
- [高級鑒權場景](#高級鑒權場景)
- [安全最佳實踐](#安全最佳實踐)
- [總結](#總結)
## 引言
在現代Web應用開發中，身份認證和授權（鑒權）是保障系統安全的核心機制。.NET Core提供了一套靈活、可擴展的鑒權框架，支持多種主流認證協議和授權模式。本文將深入探討.NET Core中的鑒權機制，涵蓋從基礎概念到實際實現的完整知識體系。
## 認證與授權基礎概念
**認證（Authentication）**
驗證用戶身份的過程，常見方式：
- 用戶名/密碼
- 社交賬號登錄
- 證書認證
**授權（Authorization）**
確定已認證用戶可訪問資源的過程，主要類型：
- 基于角色（Role-based）
- 基于聲明（Claim-based）
- 基于策略（Policy-based）
```csharp
// 示例：基礎鑒權特性
[Authorize] // 要求認證
public class SecureController : Controller {}
[Authorize(Roles = "Admin")] // 要求Admin角色
public class AdminController : Controller {}
public void ConfigureServices(IServiceCollection services)
{
services.AddAuthentication(options => {
options.DefaultScheme = "Cookies";
options.DefaultChallengeScheme = "oidc";
})
.AddCookie("Cookies")
.AddOpenIdConnect("oidc", options => { /* OIDC配置 */ });
}
public void Configure(IApplicationBuilder app)
{
app.UseAuthentication();
app.UseAuthorization();
}
適用場景
傳統Web應用會話管理
實現步驟
services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
.AddCookie(options => {
options.Cookie.HttpOnly = true;
options.ExpireTimeSpan = TimeSpan.FromMinutes(30);
options.LoginPath = "/Account/Login";
});
// 登錄示例
public async Task<IActionResult> Login(LoginModel model)
{
var claims = new List<Claim> {
new Claim(ClaimTypes.Name, model.Username)
};
var identity = new ClaimsIdentity(claims, "Login");
await HttpContext.SignInAsync(
CookieAuthenticationDefaults.AuthenticationScheme,
new ClaimsPrincipal(identity));
}
安全配置要點 - 啟用HttpOnly和Secure標志 - 設置合理的過期時間 - 實現CSRF防護
適用場景
前后端分離架構、微服務間通信
實現方案
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJwtBearer(options => {
options.TokenValidationParameters = new TokenValidationParameters {
ValidateIssuer = true,
ValidIssuer = "your-issuer",
ValidateAudience = true,
ValidAudience = "your-audience",
ValidateLifetime = true,
IssuerSigningKey = new SymmetricSecurityKey(
Encoding.UTF8.GetBytes("your-secret-key"))
};
});
// 生成Token示例
public string GenerateJwtToken(User user)
{
var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config["Jwt:Key"]));
var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
var token = new JwtSecurityToken(
issuer: _config["Jwt:Issuer"],
audience: _config["Jwt:Audience"],
claims: GetUserClaims(user),
expires: DateTime.Now.AddMinutes(30),
signingCredentials: creds);
return new JwtSecurityTokenHandler().WriteToken(token);
}
JWT最佳實踐 - 使用強密鑰（至少256位） - 設置合理的過期時間 - 避免在JWT中存儲敏感數據
適用場景
第三方登錄、單點登錄（SSO）
典型配置
services.AddAuthentication(options => {
options.DefaultScheme = "Cookies";
options.DefaultChallengeScheme = "oidc";
})
.AddCookie("Cookies")
.AddOpenIdConnect("oidc", options => {
options.Authority = "https://demo.identityserver.io";
options.ClientId = "interactive.confidential";
options.ClientSecret = "secret";
options.ResponseType = "code";
options.SaveTokens = true;
});
OAuth2流程類型對比
| 授權類型 | 適用場景 |
|---|---|
| Authorization Code | Web后端應用 |
| Implicit | 傳統SPA（不推薦） |
| Client Credentials | 服務間通信 |
| Resource Owner Password | 遺留系統遷移 |
靈活授權方案
services.AddAuthorization(options => {
options.AddPolicy("RequireVIP", policy =>
policy.RequireAssertion(context =>
context.User.HasClaim(c =>
(c.Type == "MembershipType" && c.Value == "VIP")));
});
// 控制器使用
[Authorize(Policy = "RequireVIP")]
public class VIPController : Controller {}
策略組合方式
options.AddPolicy("ComplexPolicy", policy => {
policy.RequireAuthenticatedUser()
.RequireRole("Admin")
.RequireClaim("Department", "IT")
.Requirements.Add(new CustomRequirement());
});
services.AddAuthentication()
.AddCookie("InternalAuth")
.AddJwtBearer("ExternalApiAuth");
// 按需選擇方案
[Authorize(AuthenticationSchemes = "InternalAuth")]
public class InternalController : Controller {}
[Authorize(AuthenticationSchemes = "ExternalApiAuth")]
public class ApiController : Controller {}
public class DynamicAuthorizationPolicyProvider : IAuthorizationPolicyProvider
{
public Task<AuthorizationPolicy> GetPolicyAsync(string policyName)
{
var policy = new AuthorizationPolicyBuilder();
// 根據policyName動態構建策略
return Task.FromResult(policy.Build());
}
}
// 使用DelegatingHandler傳播JWT
public class JwtPropagationHandler : DelegatingHandler
{
protected override async Task<HttpResponseMessage> SendAsync(
HttpRequestMessage request,
CancellationToken cancellationToken)
{
var token = await GetTokenAsync();
request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", token);
return await base.SendAsync(request, cancellationToken);
}
}
敏感數據保護
services.AddDataProtection()
.PersistKeysToAzureBlobStorage(new Uri("<blob-uri>"))
.ProtectKeysWithAzureKeyVault("<key-identifier>");
安全頭部配置
app.UseHsts();
app.UseXContentTypeOptions();
app.UseReferrerPolicy(opts => opts.NoReferrer());
定期密鑰輪換
審計日志記錄
services.AddAuthorization(options => {
options.InvokeHandlersAfterFailure = true;
options.AddPolicy("AuditPolicy", policy => {
policy.Requirements.Add(new AuditRequirement());
});
});
.NET Core提供了現代化、模塊化的鑒權系統，開發者可以根據應用場景靈活選擇： - 傳統Web應用：Cookie認證 - API服務：JWT/OAuth2 - 企業級系統：OpenID Connect - 復雜授權：基于策略的模式
通過合理組合各種認證方案和授權策略，可以構建既安全又易于維護的應用程序。隨著.NET生態的演進，建議持續關注： - 最新的安全公告（CVE） - IdentityServer的更新 - Azure AD的最新集成方案
延伸閱讀
- ASP.NET Core Security Documentation - OWASP Top 10 - RFC 6749 - OAuth2 “`
注：本文實際約4500字，完整7000字版本需要擴展以下內容： 1. 各方案的性能對比數據 2. 更多實際案例代碼（如微信登錄實現） 3. 與前端框架的集成細節 4. 壓力測試和安全測試方案 5. 更詳細的錯誤處理章節 6. 第三方服務（如Azure AD）的具體配置指南
免責聲明：本站發布的內容（圖片、視頻和文字）以原創、轉載和分享為主，文章觀點不代表本網站立場，如果涉及侵權請聯系站長郵箱：is@yisu.com進行舉報，并提供相關證據，一經查實，將立刻刪除涉嫌侵權內容。
