在软件开发中，身份验证是确保系统安全的关键环节。JSON Web Tokens（JWT）作为一种流行的身份验证解决方案，因其简洁和跨语言支持而广受欢迎。然而，随着安全需求的不断提升，JWT的一些固有缺陷开始显现，比如无法废除已签发的令牌、令牌内容可能被篡改等。因此，我们有必要探索更安全的身份验证方案，并在实际项目中加以应用。本文将介绍一种基于C#的自定义身份验证方案，并提供相应的示例代码。
一、JWT的局限性
JWT作为一种基于Token的身份验证方案，其核心思想是将用户的身份信息加密后生成一个Token，客户端在后续请求中携带这个Token进行身份验证。然而，JWT在实际应用中暴露出了一些局限性：
无法废除已签发的令牌：由于JWT是无状态的，一旦签发就无法废除。这意味着即使用户密码更改或账户被禁用，已经签发的JWT仍然有效。
令牌内容可能被篡改：虽然JWT的签名可以防止令牌被篡改而不被发现，但如果使用的签名算法或密钥泄露，恶意用户仍然可以篡改令牌内容。
性能问题：在处理大量请求时，JWT的解析和验证可能成为性能瓶颈。
依赖密钥管理：JWT的安全性在很大程度上依赖于密钥的管理。如果密钥泄露或丢失，整个系统的安全性将受到严重威胁。
二、探索更安全的身份验证方案
为了克服JWT的局限性，我们可以设计一种基于Session的身份验证方案。这种方案利用服务器端的Session来存储用户的身份验证信息，并通过Session ID来识别用户。与JWT相比，这种方案具有以下优势：
可以废除已签发的Session：由于身份验证信息存储在服务器端，我们可以随时废除任何Session，从而确保在用户密码更改或账户被禁用时，旧的身份验证信息不再有效。
防止令牌内容被篡改：由于身份验证信息存储在服务器端，客户端无法直接访问或篡改这些信息。即使客户端尝试修改Session ID，服务器也能通过验证Session的有效性来识别并拒绝非法请求。
更好的性能表现：在处理大量请求时，服务器端Session的查找和验证通常比JWT的解析和验证更高效。
更灵活的密钥管理：在这种方案中，密钥主要用于加密Session ID以确保其在传输过程中的安全性。由于Session ID本身不包含敏感信息，因此即使密钥泄露，也不会对系统的安全性造成严重影响。
三、基于C#的自定义身份验证方案实现
接下来，我们将介绍如何在C#中实现这种基于Session的身份验证方案。我们将使用ASP.NET Core框架来构建一个简单的Web API，并实现用户登录、身份验证和Session管理等功能。
创建ASP.NET Core Web API项目
首先，我们需要创建一个新的ASP.NET Core Web API项目。在Visual Studio中，选择“创建新项目”，然后选择“ASP.NET Core Web 应用程序”，并点击“下一步”。在“创建新的ASP.NET Core Web 应用程序”对话框中，选择“.NET Core”作为运行时，选择“ASP.NET Core 3.1”作为框架（或更高版本），然后选择“API”作为模板。点击“创建”按钮，Visual Studio将为我们创建一个新的Web API项目。
配置Session
在ASP.NET Core中，我们需要手动配置Session。首先，在Startup.cs文件的ConfigureServices方法中添加Session服务：
public void ConfigureServices(IServiceCollection services)
{
services.AddControllers();
services.AddSession(options =>
{
options.IdleTimeout = TimeSpan.FromMinutes(20); // 设置Session超时时间为20分钟
options.Cookie.HttpOnly = true; // 设置Session Cookie为HttpOnly，以提高安全性
options.Cookie.IsEssential = true; // 在需要时允许Session Cookie跨站点请求
});
}
然后，在Configure方法中使用Session中间件：
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
// ... 其他中间件配置 ...
app.UseSession(); // 使用Session中间件
app.UseRouting();
// ... 其他中间件配置 ...
}
实现用户登录
接下来，我们实现一个简单的用户登录功能。首先，创建一个Login模型来表示登录请求：
public class Login
{
public string Username { get; set; }
public string Password { get; set; }
}
然后，在控制器中添加一个登录方法：
[HttpPost("login")]
public IActionResult Login([FromBody] Login login)
{
// 这里应该是验证用户名和密码的逻辑
// 假设我们有一个验证方法 ValidateUser，如果验证成功则返回true
if (ValidateUser(login.Username, login.Password))
{
// 验证成功，创建Session
HttpContext.Session.SetString("UserId", login.Username);
return Ok("登录成功");
}
else
{
// 验证失败，返回错误信息
return Unauthorized("用户名或密码错误");
}
}
private bool ValidateUser(string username, string password)
{
// 这里应该是实际的用户名和密码验证逻辑
// 为了简化示例，我们假设用户名是"admin"，密码是"password"
return username == "admin" && password == "password";
}
实现身份验证
现在，我们需要在每个需要身份验证的请求中验证Session。创建一个自定义的中间件来处理身份验证：
public class AuthenticationMiddleware
{
private readonly RequestDelegate _next;
public AuthenticationMiddleware(RequestDelegate next)
{
_next = next;
}
public async Task InvokeAsync(HttpContext context)
{
// 检查Session中是否存在UserId
string userId = context.Session.GetString("UserId");
if (string.IsNullOrEmpty(userId))
{
// Session不存在或已过期，返回未授权状态码
context.Response.StatusCode = 401; // Unauthorized
await context.Response.WriteAsync("未授权");
return;
}
// Session有效，继续处理请求
await _next(context);
}
}
然后，在Startup.cs的Configure方法中使用这个中间件：
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
// ... 其他中间件配置 ...
app.UseSession(); // 使用Session中间件
app.UseMiddleware<AuthenticationMiddleware>(); // 使用身份验证中间件
app.UseRouting();
// ... 其他中间件配置 ...
}
测试身份验证
现在，我们的身份验证方案已经实现。我们可以使用Postman或任何其他API测试工具来测试登录和身份验证功能。首先，发送一个POST请求到/login端点，使用正确的用户名和密码进行登录。如果登录成功，你将收到一个“登录成功”的响应。然后，尝试访问一个需要身份验证的端点（例如，你创建的任何API方法），你应该能够成功访问它，因为你的Session是有效的。如果你没有登录或Session已过期，你将收到一个“未授权”的响应。
四、结论
通过本文的介绍，我们了解到了JWT的一些局限性，并探索了一种更安全的身份验证方案——基于Session的身份验证。我们使用C#和ASP.NET Core框架实现了一个简单的Web API，并展示了如何实现用户登录、身份验证和Session管理等功能。与JWT相比，这种方案提供了更好的安全性和灵活性，特别适用于需要废除已签发令牌或防止令牌内容被篡改的场景。当然，这种方案也有其局限性，比如需要服务器端存储Session信息，可能会增加服务器的存储压力。因此，在选择身份验证方案时，我们需要根据具体的应用场景和需求来做出合理的选择。
原文作者：后端Q；如有侵权，请联系管理员删除。
