我正在为 JWT Bearer Token 身份验证的签名 key 的实现(或理解)而苦苦挣扎。我希望有人能帮助我或解释我的误解。

过去几周我爬取了大量教程并设法让自定义 Auth-Controller 运行，它发出我的 token 并设法设置 JWT 持有者身份验证以验证 header 中的 token 。

有效。

我的问题是所有示例和教程要么生成随机的或内存中(发行者)签名 key ，要么使用硬编码的“密码”字符串，或者从某个配置文件中获取它们(在代码示例中查找“密码”)。

验证设置(在 StartUp.cs 中)的意思:

  //using hardcoded "password"
  SecurityKey key = new SymmetricSecurityKey(System.Text.Encoding.ASCII.GetBytes("password"));

  app.UseJwtBearerAuthentication(new JwtBearerOptions
  {
    AutomaticAuthenticate = true,
    AutomaticChallenge = true,
    TokenValidationParameters = new TokenValidationParameters
    {
      ValidateIssuer = true,
      ValidIssuer = "MyIssuer",
      ValidateAudience = true,
      ValidAudience = "MyAudience",
      ValidateLifetime = true,
      IssuerSigningKey = key
    }
  });

在创建 token 的 AuthController 中:

  //using hardcoded password
  var signingKey = new SymmetricSecurityKey(System.Text.Encoding.ASCII.GetBytes("password"));
  SigningCredentials credentials = new SigningCredentials(signingKey, SecurityAlgorithms.HmacSha256);

  var jwt = new JwtSecurityToken     // Create the JWT and write it to a string
  (
    issuer: _jwtTokenSettings.Issuer,
    audience: _jwtTokenSettings.Audience,
    claims: claims,
    notBefore: now,
    expires: now.AddSeconds(_jwtTokenSettings.LifetimeInSeconds),
    signingCredentials: credentials
  );

在this question他们使用:

RSAParameters keyParams = RSAKeyUtils.GetRandomKey();

我(当前)的假设是，在生产环境中，您不应使用硬编码字符串或配置文件中的字符串作为 token 签名 key 。而是使用一些证书文件？？？我错了吗？

所以我尝试用在 auth Controller 中工作的证书替换字符串:

  //using a certificate file
  X509Certificate2 cert = new X509Certificate2("MySelfSignedCertificate.pfx", "password");
  X509SecurityKey key = new X509SecurityKey(cert);
  SigningCredentials credentials = new SigningCredentials(key, "RS256");

  var jwt = new JwtSecurityToken      // Create the JWT and write it to a string
  (
     issuer: _jwtTokenSettings.Issuer,
     audience: _jwtTokenSettings.Audience,
     claims: claims,
     notBefore: now,
     expires: now.AddSeconds(_jwtTokenSettings.LifetimeInSeconds),
     signingCredentials: credentials
  );

但似乎没有办法使用证书进行验证。

  X509Certificate2 cert = new X509Certificate2("MySelfSignedCertificate.pfx", "password");
  SecurityKey key == // ??? how to get the security key from file (not necessarily pfx)

  app.UseJwtBearerAuthentication(new JwtBearerOptions
  {
    AutomaticAuthenticate = true,
    AutomaticChallenge = true,
    TokenValidationParameters = new TokenValidationParameters
    {
      ValidateIssuer = true,
      ValidIssuer = "MyIssuer",
      ValidateAudience = true,
      ValidAudience = "MyAudience",
      ValidateLifetime = true,
      IssuerSigningKey = key
    }
  });

我应该使用证书作为签名 key ，我错了吗？ 当 auth Controller 与消费/安全 web api 位于不同的服务器上时，我还能如何更改生产中的签名 key (可能是一次，而不是现在)？

似乎我也错过了获得this question答案的要点(必需的步骤)工作。

现在我让它运行了，如果它应该是那样的话，我仍然没有捕获要点？

值得注意:找不到文件(部署到服务器后)

对于所有使用它的人来说，它在从 Visual Studio 启动时有效，但在部署到服务器/天蓝色后，它说“找不到文件”:

阅读并点赞这个问题:X509 certificate not loading private key file on server

值得注意的 2:基于 token 的身份验证实际上不需要它

公钥不需要在API端。它将通过身份验证服务器的发现端点自动检索。

最佳答案

哦，亲爱的，就这么简单:

SecurityKey key = new X509SecurityKey(cert);

或者作为上面的完整示例:

X509Certificate2 cert = new X509Certificate2("MySelfSignedCertificate.pfx", "password");
SecurityKey key = new X509SecurityKey(cert); //well, seems to be that simple
app.UseJwtBearerAuthentication(new JwtBearerOptions
{
    AutomaticAuthenticate = true,
    AutomaticChallenge = true,
    TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuer = true,
        ValidIssuer = "MyIssuer",
        ValidateAudience = true,
        ValidAudience = "MyAudience",
        ValidateLifetime = true,
        IssuerSigningKey = key
     }
});

关于c# - 来自文件的 .NET Core IssuerSigningKey 用于 JWT 承载身份验证，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/46294373/