ASP.NET Core身份验证与授权实战：JWT、Cookie与策略配置详解

如果你正在开发一个需要用户登录、权限控制的 .NET 应用那么身份验证Authentication和授权Authorization就是绕不开的核心技术。这两个概念听起来相似但职责完全不同身份验证解决“你是谁”的问题授权则决定“你能做什么”。在 ASP.NET Core 框架下微软提供了一套强大、灵活且开箱即用的中间件体系来处理这两个问题但面对 JWT、Cookie、OAuth 2.0、OpenID Connect、策略Policy、角色Role、声明Claim等一系列术语很多开发者容易混淆不知从何下手。这篇文章将直接切入主题为你梳理 .NET 身份验证与授权的核心脉络。我们不谈空泛的理论而是聚焦于ASP.NET Core 中间件这套“基础设施”告诉你它如何工作、如何配置、以及如何应对常见的开发场景。无论你是想为 Web API 添加 JWT 保护还是为 MVC 应用实现基于角色的页面访问控制这里都有清晰的路径。1. 核心概念速览Authentication vs. Authorization在深入代码之前必须厘清这两个基石概念。它们协同工作但职责分明。概念英文核心问题类比在 .NET 中的体现身份验证Authentication你是谁出示身份证验明正身验证用户凭证如密码、JWT令牌创建包含用户身份信息的ClaimsPrincipal对象。授权Authorization你能做什么检查门票权限如VIP区准入基于ClaimsPrincipal中的信息角色、声明等判断是否允许执行当前操作。简单流程用户登录 →身份验证中间件介入 → 验证凭证 → 生成代表用户身份的ClaimsPrincipal并附加到当前 HTTP 上下文HttpContext.User。用户访问受保护资源 →授权中间件/属性介入 → 检查HttpContext.User→ 根据其角色/声明/策略决定是否放行。核心对象ClaimsPrincipal代表当前用户的安全主体是身份信息的容器。Claim一条身份信息单元例如Name: “张三”,Role: “Admin”,Email: “zhangsanexample.com”。ClaimsIdentityClaim的集合一个ClaimsPrincipal可以包含多个Identity。2. ASP.NET Core 身份验证架构与配置ASP.NET Core 的身份验证系统是基于方案Scheme的。一个方案代表一种具体的验证方式如Cookie、JWT Bearer。2.1 注册身份验证服务与中间件一切始于Program.cs或Startup.cs中的服务配置。// Program.cs var builder WebApplication.CreateBuilder(args); // 1. 注册身份验证服务并配置多个方案 builder.Services.AddAuthentication(options { // 设置默认的挑战方案和认证方案当未明确指定时使用哪个 options.DefaultAuthenticateScheme JwtBearerDefaults.AuthenticationScheme; options.DefaultChallengeScheme JwtBearerDefaults.AuthenticationScheme; }) .AddCookie(options // 添加Cookie认证方案方案名为“Cookies” { options.LoginPath “/Account/Login”; options.AccessDeniedPath “/Account/AccessDenied”; options.ExpireTimeSpan TimeSpan.FromDays(7); }) .AddJwtBearer(options // 添加JWT Bearer认证方案方案名为“Bearer” { options.TokenValidationParameters new TokenValidationParameters { ValidateIssuer true, ValidIssuer builder.Configuration[“Jwt:Issuer”], ValidateAudience true, ValidAudience builder.Configuration[“Jwt:Audience”], ValidateIssuerSigningKey true, IssuerSigningKey new SymmetricSecurityKey( Encoding.UTF8.GetBytes(builder.Configuration[“Jwt:Key”])), ValidateLifetime true, ClockSkew TimeSpan.Zero // 可适当放宽时间容差 }; }); // 还可以继续添加 .AddOpenIdConnect(), .AddGoogle() 等 var app builder.Build(); // 2. 使用身份验证中间件顺序很重要通常放在UseRouting之后UseAuthorization之前 app.UseRouting(); app.UseAuthentication(); // 负责解析请求创建HttpContext.User app.UseAuthorization(); // 负责进行权限检查 app.MapControllers(); app.Run();关键点AddAuthentication配置默认方案它是身份验证的入口。.AddCookie(),.AddJwtBearer()这些是认证方案处理器。你可以注册多个系统会根据请求特征如Authorization: Bearer xxx头自动选择或由你手动指定。UseAuthentication()中间件必须调用。它执行已注册的认证方案将认证结果成功或失败填充到HttpContext.User。顺序至关重要UseAuthentication必须在UseAuthorization和UseEndpoints或MapControllers之前调用。2.2 主要认证方案详解2.2.1 Cookie 认证适用于传统的浏览器-服务器交互的 Web 应用如 MVC Razor Pages。工作原理服务器验证用户凭证后创建一个包含身份信息的 Cookie 发送给浏览器。后续请求浏览器自动携带此 Cookie服务器据此重建用户身份。核心配置.AddCookie(“MyCookie”, options { options.Cookie.Name “MyApp.Auth”; options.LoginPath “/Home/Login”; // 未认证时重定向的登录路径 options.AccessDeniedPath “/Home/Forbidden”; // 授权失败时重定向的路径 options.SlidingExpiration true; // 滑动过期 options.ExpireTimeSpan TimeSpan.FromMinutes(60); // 安全重要生产环境必须设置 options.Cookie.HttpOnly true; // 防止JS访问 options.Cookie.SecurePolicy CookieSecurePolicy.Always; // 仅HTTPS传输 options.Cookie.SameSite SameSiteMode.Strict; // CSRF防护 })登录与登出// 在登录Action中 var claims new ListClaim { new Claim(ClaimTypes.Name, username), new Claim(ClaimTypes.Role, “User”), new Claim(“EmployeeId”, “12345”) }; var claimsIdentity new ClaimsIdentity(claims, “MyCookie”); var authProperties new AuthenticationProperties { IsPersistent true }; await HttpContext.SignInAsync(“MyCookie”, new ClaimsPrincipal(claimsIdentity), authProperties); // 在登出Action中 await HttpContext.SignOutAsync(“MyCookie”);2.2.2 JWT Bearer 认证适用于前后端分离架构如 SPA、移动App、API 网关或微服务间的认证。工作原理客户端前端首先通过登录接口获取一个 JWT 令牌。后续请求在 HTTP Header 中携带Authorization: Bearer token。服务器端验证令牌的签名、有效期等信息。核心配置.AddJwtBearer(options { options.TokenValidationParameters new TokenValidationParameters { // 验证签发者 ValidateIssuer true, ValidIssuer “https://myapp.com”, // 验证接收者 ValidateAudience true, ValidAudience “myapp-api”, // 验证签名密钥 ValidateIssuerSigningKey true, IssuerSigningKey new SymmetricSecurityKey(Encoding.UTF8.GetBytes(“YourSuperSecretKeyHereAtLeast32BytesLong!”)), // 验证令牌有效期 ValidateLifetime true, // 时间容差可根据需要设置 ClockSkew TimeSpan.FromSeconds(30) }; // 可选从其他位置获取Token如Query String options.Events new JwtBearerEvents { OnMessageReceived context { var accessToken context.Request.Query[“access_token”]; if (!string.IsNullOrEmpty(accessToken)) { context.Token accessToken; } return Task.CompletedTask; } }; })生成 JWT 令牌通常在登录 API 中public string GenerateJwtToken(string username, string role) { var securityKey new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_config[“Jwt:Key”])); var credentials new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256); var claims new[] { new Claim(JwtRegisteredClaimNames.Sub, username), new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()), new Claim(ClaimTypes.Role, role) }; var token new JwtSecurityToken( issuer: _config[“Jwt:Issuer”], audience: _config[“Jwt:Audience”], claims: claims, expires: DateTime.Now.AddHours(3), signingCredentials: credentials ); return new JwtSecurityTokenHandler().WriteToken(token); }3. ASP.NET Core 授权策略、角色与声明身份验证成功后授权系统基于ClaimsPrincipal进行决策。ASP.NET Core 的授权主要围绕策略Policy构建。3.1 注册授权服务与配置策略builder.Services.AddAuthorization(options { // 策略1要求用户必须登录最简单策略 options.FallbackPolicy new AuthorizationPolicyBuilder() .RequireAuthenticatedUser() .Build(); // 策略2要求用户拥有特定角色 options.AddPolicy(“RequireAdminRole”, policy policy.RequireRole(“Administrator”)); options.AddPolicy(“RequireUserOrAdmin”, policy policy.RequireRole(“User”, “Administrator”)); // 策略3要求用户拥有特定声明 options.AddPolicy(“EmployeeOnly”, policy policy.RequireClaim(“EmployeeId”)); // 只要拥有此声明即可 options.AddPolicy(“SeniorEmployee”, policy policy.RequireClaim(“Department”, “Engineering”) // 声明类型和值必须同时匹配 .RequireClaim(“Level”, “Senior”)); // 策略4基于自定义需求最灵活 options.AddPolicy(“MinimumAge18”, policy policy.Requirements.Add(new MinimumAgeRequirement(18))); // 策略5组合多个要求 options.AddPolicy(“ComplexPolicy”, policy policy.RequireAuthenticatedUser() .RequireRole(“Manager”) .RequireClaim(“Location”, “Headquarters”) .Requirements.Add(new CustomRequirement())); });3.2 应用授权控制器与 Action 级别配置好策略后可以通过属性Attribute或代码方式应用到端点。[ApiController] [Route(“api/[controller]”)] public class ProductsController : ControllerBase { // 方式1整个控制器要求登录 [Authorize] public class AdminController : Controller { /* ... */ } // 方式2特定Action要求特定角色 [Authorize(Roles “Administrator”)] [HttpGet(“all”)] public IActionResult GetAll() { /* ... */ } // 方式3使用预定义的策略名 [Authorize(Policy “RequireAdminRole”)] [HttpPost] public IActionResult Create(Product product) { /* ... */ } // 方式4允许匿名访问覆盖控制器级别的Authorize [AllowAnonymous] [HttpGet(“public”)] public IActionResult GetPublicInfo() { /* ... */ } // 方式5在Razor Pages中使用[Authorize]特性或约定 // 在 PageModel 类或Handler方法上使用 [Authorize] }3.3 自定义授权需求与处理器当内置的RequireRole、RequireClaim不能满足需求时可以创建自定义策略。步骤1定义需求public class MinimumAgeRequirement : IAuthorizationRequirement { public int MinimumAge { get; } public MinimumAgeRequirement(int minimumAge) { MinimumAge minimumAge; } }步骤2实现处理器public class MinimumAgeHandler : AuthorizationHandlerMinimumAgeRequirement { protected override Task HandleRequirementAsync( AuthorizationHandlerContext context, MinimumAgeRequirement requirement) { // 从声明中查找生日 var dateOfBirthClaim context.User.FindFirst(c c.Type ClaimTypes.DateOfBirth); if (dateOfBirthClaim null) { return Task.CompletedTask; // 没有生日声明不满足 } var dateOfBirth Convert.ToDateTime(dateOfBirthClaim.Value); var age DateTime.Today.Year - dateOfBirth.Year; if (dateOfBirth.Date DateTime.Today.AddYears(-age)) age--; if (age requirement.MinimumAge) { context.Succeed(requirement); // 满足条件授权成功 } // 如果不满足不做任何操作其他处理器可能成功 return Task.CompletedTask; } }步骤3注册处理器builder.Services.AddSingletonIAuthorizationHandler, MinimumAgeHandler();4. 实战为 Web API 集成 JWT 认证与授权让我们构建一个完整的迷你示例一个受 JWT 保护的 API包含登录、获取受保护资源、基于角色的访问控制。4.1 项目设置与模型创建项目dotnet new webapi -n SecureApi安装 NuGet 包dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer dotnet add package System.IdentityModel.Tokens.Jwt添加模型// Models/LoginModel.cs public class LoginModel { public string Username { get; set; } public string Password { get; set; } } // Models/User.cs public class User { public string Username { get; set; } public string PasswordHash { get; set; } // 实际应用中应存储哈希值 public string Role { get; set; } public int Age { get; set; } }4.2 配置 JWT 与授权在appsettings.json中添加配置{ “Jwt”: { “Key”: “ThisIsMySuperSecretKeyThatIsAtLeast32BytesLong!”, “Issuer”: “SecureApiServer”, “Audience”: “SecureApiClient” }, “Logging”: { /* ... */ }, “AllowedHosts”: “*” }在Program.cs中配置服务using Microsoft.AspNetCore.Authentication.JwtBearer; using Microsoft.IdentityModel.Tokens; using System.Text; var builder WebApplication.CreateBuilder(args); // 添加服务 builder.Services.AddControllers(); builder.Services.AddEndpointsApiExplorer(); builder.Services.AddSwaggerGen(c { // 为Swagger UI添加JWT支持可选 c.AddSecurityDefinition(“Bearer”, new OpenApiSecurityScheme { Description “JWT Authorization header using the Bearer scheme.”, Name “Authorization”, In ParameterLocation.Header, Type SecuritySchemeType.Http, Scheme “bearer” }); c.AddSecurityRequirement(new OpenApiSecurityRequirement { { new OpenApiSecurityScheme { Reference new OpenApiReference { Type ReferenceType.SecurityScheme, Id “Bearer” } }, new string[] {} } }); }); // 配置身份验证JWT Bearer builder.Services.AddAuthentication(options { options.DefaultAuthenticateScheme JwtBearerDefaults.AuthenticationScheme; options.DefaultChallengeScheme JwtBearerDefaults.AuthenticationScheme; }) .AddJwtBearer(options { options.TokenValidationParameters new TokenValidationParameters { ValidateIssuer true, ValidIssuer builder.Configuration[“Jwt:Issuer”], ValidateAudience true, ValidAudience builder.Configuration[“Jwt:Audience”], ValidateIssuerSigningKey true, IssuerSigningKey new SymmetricSecurityKey( Encoding.UTF8.GetBytes(builder.Configuration[“Jwt:Key”])), ValidateLifetime true, ClockSkew TimeSpan.Zero }; }); // 配置授权策略 builder.Services.AddAuthorization(options { options.AddPolicy(“AdminOnly”, policy policy.RequireRole(“Admin”)); options.AddPolicy(“AdultOnly”, policy policy.Requirements.Add(new MinimumAgeRequirement(18))); }); // 注册自定义授权处理器 builder.Services.AddSingletonIAuthorizationHandler, MinimumAgeHandler(); var app builder.Build(); // 配置中间件管道 if (app.Environment.IsDevelopment()) { app.UseSwagger(); app.UseSwaggerUI(); } app.UseHttpsRedirection(); // 顺序很重要 app.UseAuthentication(); app.UseAuthorization(); app.MapControllers(); app.Run();4.3 实现控制器// Controllers/AuthController.cs [ApiController] [Route(“api/[controller]”)] [AllowAnonymous] // 登录接口本身不需要认证 public class AuthController : ControllerBase { private readonly IConfiguration _config; // 模拟用户存储实际应从数据库查询 private readonly ListUser _users new ListUser { new User { Username “alice”, PasswordHash “alice123”, Role “Admin”, Age 30 }, new User { Username “bob”, PasswordHash “bob123”, Role “User”, Age 16 } }; public AuthController(IConfiguration config) { _config config; } [HttpPost(“login”)] public IActionResult Login([FromBody] LoginModel login) { // 1. 验证用户凭证此处简化实际应对比密码哈希 var user _users.FirstOrDefault(u u.Username login.Username u.PasswordHash login.Password); if (user null) { return Unauthorized(“Invalid username or password.”); } // 2. 生成JWT令牌 var tokenHandler new JwtSecurityTokenHandler(); var key Encoding.ASCII.GetBytes(_config[“Jwt:Key”]); var tokenDescriptor new SecurityTokenDescriptor { Subject new ClaimsIdentity(new[] { new Claim(ClaimTypes.Name, user.Username), new Claim(ClaimTypes.Role, user.Role), new Claim(ClaimTypes.DateOfBirth, new DateTime(DateTime.Today.Year - user.Age, 1, 1).ToString(“yyyy-MM-dd”)) }), Expires DateTime.UtcNow.AddHours(3), Issuer _config[“Jwt:Issuer”], Audience _config[“Jwt:Audience”], SigningCredentials new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256Signature) }; var token tokenHandler.CreateToken(tokenDescriptor); var tokenString tokenHandler.WriteToken(token); // 3. 返回令牌 return Ok(new { Token tokenString, Username user.Username, Role user.Role }); } } // Controllers/ProductsController.cs [ApiController] [Route(“api/[controller]”)] [Authorize] // 整个控制器需要认证 public class ProductsController : ControllerBase { private static readonly Liststring Products new Liststring { “Product1”, “Product2”, “Product3” }; [HttpGet] public IActionResult GetAll() { // 任何已登录用户都可访问 return Ok(Products); } [HttpGet(“admin-only”)] [Authorize(Policy “AdminOnly”)] // 需要Admin角色 public IActionResult GetAdminData() { return Ok(“This is admin-only data.”); } [HttpGet(“adult-only”)] [Authorize(Policy “AdultOnly”)] // 需要满足自定义的年龄要求 public IActionResult GetAdultContent() { return Ok(“This content is for adults only.”); } }4.4 测试 API启动项目dotnet run测试登录获取Tokencurl -X POST https://localhost:5001/api/auth/login \ -H “Content-Type: application/json” \ -d ‘{“username”:”alice”,”password”:”alice123”}’响应应包含一个 JWTtoken。访问公开接口无需Token无。访问受保护接口需Tokencurl -X GET https://localhost:5001/api/products \ -H “Authorization: Bearer YOUR_JWT_TOKEN_HERE”应返回产品列表。测试角色策略用alice(Admin) 的 Token 访问/api/products/admin-only应成功。用bob(User) 的 Token 访问会返回403 Forbidden。测试自定义策略用alice(30岁) 的 Token 访问/api/products/adult-only应成功。用bob(16岁) 的 Token 访问会返回403 Forbidden。5. 高级主题与最佳实践5.1 混合认证方案一个应用可能同时需要 Cookie用于浏览器和 JWT用于 API。只需注册多个方案并在需要时通过[Authorize(AuthenticationSchemes “Scheme1,Scheme2”)]指定。UseAuthentication中间件会按顺序尝试所有方案。5.2 策略缓存与性能授权策略在应用启动时被编译和缓存。确保策略逻辑不要太重。对于需要外部数据如数据库的复杂授权逻辑考虑在自定义IAuthorizationHandler中异步获取并实施适当的缓存策略。5.3 安全加固JWT使用足够长且安全的密钥HS256 至少 32 字节。设置合理的令牌有效期。考虑使用非对称加密RS256并妥善保管私钥。实现令牌吊销列表黑名单机制以应对登出或安全事件。Cookie始终设置HttpOnly、Secure、SameSite属性。使用数据保护 APIDataProtectionProvider来保护 Cookie 内容。通用对所有敏感操作如修改密码、删除账户实施二次验证。记录认证和授权失败日志用于安全审计。定期进行安全依赖项更新。5.4 测试授权逻辑为自定义的AuthorizationHandler编写单元测试模拟不同的ClaimsPrincipal验证其决策逻辑是否正确。6. 常见问题与排查问题现象可能原因排查步骤401 Unauthorized1. 请求未携带认证信息Token/Cookie。2. Token 无效过期、签名错误、发行人/受众不匹配。3. 认证方案未正确配置或中间件顺序错误。1. 检查请求头是否包含正确的Authorization。2. 在 jwt.io 解码 Token检查有效期和签名。3. 检查Program.cs中AddAuthentication和UseAuthentication的配置与调用顺序。403 Forbidden身份验证成功但授权失败。用户不具备访问该资源所需的角色、声明或策略。1. 检查HttpContext.User中的Claims是否正确。2. 检查控制器或 Action 上应用的[Authorize]属性或策略要求。3. 检查自定义授权处理器的逻辑。登录后 Cookie 不生效1. Cookie 配置问题Path、Domain、Secure。2. 浏览器禁用了 Cookie。3. 跨域请求未携带凭据。1. 检查AddCookie配置特别是Cookie.HttpOnly、Secure、SameSite。2. 检查浏览器开发者工具中的 Application/Cookies 选项卡。3. 如果是跨域确保 CORS 配置包含AllowCredentials()。Swagger UI 无法测试带认证的 APISwagger 未配置安全定义。按照 4.2 节示例配置 Swagger使其支持发送 Bearer Token。自定义授权处理器未被调用1. 处理器未在 DI 容器中注册。2. 策略名称拼写错误。3. 有其他处理器已使需求失败或成功。1. 确认services.AddSingletonIAuthorizationHandler, YourHandler()被调用。2. 检查[Authorize(Policy “…”)]中的策略名与AddPolicy时定义的是否一致。7. 总结与下一步.NET 的身份验证与授权框架虽然概念繁多但其基于中间件和策略的设计非常清晰和强大。掌握它的关键在于理解“认证方案创建身份授权策略消费身份”这一核心流程。对于大多数应用从 JWT BearerAPI或 Cookie传统Web认证开始结合基于角色的授权就能覆盖主要场景。当业务逻辑变得更复杂时再引入基于声明和自定义策略的细粒度控制。建议的实践路径是先跑通使用本文的示例确保一个最简单的 JWT 保护 API 能正常工作。再深化根据你的业务需求设计用户角色体系和核心声明。后优化实现自定义授权需求处理令牌刷新、吊销等高级场景并完善安全配置。将认证授权逻辑清晰地分层中间件、策略、处理器不仅能提升应用的安全性也能让代码更易于维护和测试。