主頁 > .NET開發 > 基于 abp vNext 和 .NET Core 開發博客專案 - 接入GitHub，用JWT保護你的API

基于 abp vNext 和 .NET Core 開發博客專案 - 接入GitHub，用JWT保護你的API

2020-09-13 11:35:39 .NET開發

系列文章

  1. 基于 abp vNext 和 .NET Core 開發博客專案 - 使用 abp cli 搭建專案
  2. 基于 abp vNext 和 .NET Core 開發博客專案 - 給專案瘦身，讓它跑起來
  3. 基于 abp vNext 和 .NET Core 開發博客專案 - 完善與美化，Swagger登場
  4. 基于 abp vNext 和 .NET Core 開發博客專案 - 資料訪問和代碼優先
  5. 基于 abp vNext 和 .NET Core 開發博客專案 - 自定義倉儲之增刪改查
  6. 基于 abp vNext 和 .NET Core 開發博客專案 - 統一規范API，包裝回傳模型
  7. 基于 abp vNext 和 .NET Core 開發博客專案 - 再說Swagger，分組、描述、小綠鎖
  8. 基于 abp vNext 和 .NET Core 開發博客專案 - 接入GitHub，用JWT保護你的API
  9. 基于 abp vNext 和 .NET Core 開發博客專案 - 例外處理和日志記錄
  10. 基于 abp vNext 和 .NET Core 開發博客專案 - 使用Redis快取資料
  11. 基于 abp vNext 和 .NET Core 開發博客專案 - 集成Hangfire實作定時任務處理
  12. 基于 abp vNext 和 .NET Core 開發博客專案 - 用AutoMapper搞定物件映射
  13. 基于 abp vNext 和 .NET Core 開發博客專案 - 定時任務最佳實戰（一）
  14. 基于 abp vNext 和 .NET Core 開發博客專案 - 定時任務最佳實戰（二）
  15. 基于 abp vNext 和 .NET Core 開發博客專案 - 定時任務最佳實戰（三）
  16. 基于 abp vNext 和 .NET Core 開發博客專案 - 博客介面實戰篇（一）
  17. 基于 abp vNext 和 .NET Core 開發博客專案 - 博客介面實戰篇（二）
  18. 基于 abp vNext 和 .NET Core 開發博客專案 - 博客介面實戰篇（三）
  19. 基于 abp vNext 和 .NET Core 開發博客專案 - 博客介面實戰篇（四）
  20. 基于 abp vNext 和 .NET Core 開發博客專案 - 博客介面實戰篇（五）
  21. 基于 abp vNext 和 .NET Core 開發博客專案 - Blazor 實戰系列（一）
  22. 基于 abp vNext 和 .NET Core 開發博客專案 - Blazor 實戰系列（二）
  23. 基于 abp vNext 和 .NET Core 開發博客專案 - Blazor 實戰系列（三）
  24. 基于 abp vNext 和 .NET Core 開發博客專案 - Blazor 實戰系列（四）
  25. 基于 abp vNext 和 .NET Core 開發博客專案 - Blazor 實戰系列（五）
  26. 基于 abp vNext 和 .NET Core 開發博客專案 - Blazor 實戰系列（六）
  27. 基于 abp vNext 和 .NET Core 開發博客專案 - Blazor 實戰系列（七）
  28. 基于 abp vNext 和 .NET Core 開發博客專案 - Blazor 實戰系列（八）
  29. 基于 abp vNext 和 .NET Core 開發博客專案 - Blazor 實戰系列（九）
  30. 基于 abp vNext 和 .NET Core 開發博客專案 - 終結篇之發布專案

上一篇文章(https://www.cnblogs.com/meowv/p/12924859.html)再次把Swagger的使用進行了講解，完成了對Swagger的分組、描述和開啟小綠鎖以進行身份的認證授權，那么本篇就來說說身份認證授權，

開始之前先搞清楚幾個概念，請注意認證與授權是不同的意思，簡單理解：認證，是證明你的身份，你有賬號密碼，你可以登錄進我們的系統，說明你認證成功了；授權，即權限，分配給用戶某一權限標識，用戶得到什么什么權限，才能使用系統的某一功能，就是授權，

身份認證可以有很多種方式，可以創建一個用戶表，使用賬號密碼，也可以接入第三方平臺，在這里我接入GitHub進行身份認證，當然你可以選擇其他方式(如：QQ、微信、微博等)，可以自己擴展，

打開GitHub，進入開發者設定界面(https://github.com/settings/developers)，我們新建一個 oAuth App，

0

1

如圖所示，我們將要用到敏感資料放在appsettings.json中

{
  ...
  "Github": {
    "UserId": 13010050,
    "ClientID": "5956811a5d04337ec2ca",
    "ClientSecret": "8fc1062c39728a8c2a47ba445dd45165063edd92",
    "RedirectUri": "https://localhost:44388/account/auth",
    "ApplicationName": "阿星Plus"
  }
}

ClientID和ClientSecret是GitHub為我們生成的，請注意保管好你的ClientID和ClientSecret，我這里直接給出了明文，我將在本篇結束后刪掉此 oAuth App ??，請自己創建噢！

RedirectUri是我們自己添加的回呼地址，ApplicationName是我們應用的名稱，全部都要和GitHub對應，

相應的在AppSettings.cs中讀取

...
        /// <summary>
        /// GitHub
        /// </summary>
        public static class GitHub
        {
            public static int UserId => Convert.ToInt32(_config["Github:UserId"]);

            public static string Client_ID => _config["Github:ClientID"];

            public static string Client_Secret => _config["Github:ClientSecret"];

            public static string Redirect_Uri => _config["Github:RedirectUri"];

            public static string ApplicationName => _config["Github:ApplicationName"];
        }
...

接下來，我們大家自行去GitHub的OAuth官方檔案看看，https://developer.github.com/apps/building-oauth-apps/authorizing-oauth-apps/

分析一下，我們接入GitHub身份認證授權整個流程下來分以下幾步

  1. 根據引數生成GitHub重定向的地址，跳轉到GitHub登錄頁，進行登錄
  2. 登錄成功之后會跳轉到我們的回呼地址，回呼地址會攜帶code引數
  3. 拿到code引數，就可以換取到access_token
  4. 有了access_token，可以呼叫GitHub獲取用戶資訊的介面，得到當前登錄成功的用戶資訊

開始之前，先將GitHub的API簡單處理一下，

在.Domain層中Configurations檔案夾下新建GitHubConfig.cs配置類，將所需要的API以及appsettings.json的內容讀取出來，

//GitHubConfig.cs
namespace Meowv.Blog.Domain.Configurations
{
    public class GitHubConfig
    {
        /// <summary>
        /// GET請求，跳轉GitHub登錄界面，獲取用戶授權，得到code
        /// </summary>
        public static string API_Authorize = "https://github.com/login/oauth/authorize";

        /// <summary>
        /// POST請求，根據code得到access_token
        /// </summary>
        public static string API_AccessToken = "https://github.com/login/oauth/access_token";

        /// <summary>
        /// GET請求，根據access_token得到用戶資訊
        /// </summary>
        public static string API_User = "https://api.github.com/user";

        /// <summary>
        /// Github UserId
        /// </summary>
        public static int UserId = AppSettings.GitHub.UserId;

        /// <summary>
        /// Client ID
        /// </summary>
        public static string Client_ID = AppSettings.GitHub.Client_ID;

        /// <summary>
        /// Client Secret
        /// </summary>
        public static string Client_Secret = AppSettings.GitHub.Client_Secret;

        /// <summary>
        /// Authorization callback URL
        /// </summary>
        public static string Redirect_Uri = AppSettings.GitHub.Redirect_Uri;

        /// <summary>
        /// Application name
        /// </summary>
        public static string ApplicationName = AppSettings.GitHub.ApplicationName;
    }
}

細心的同學可能以及看到了，我們在配置的時候多了一個UserId，在這里使用一個策略，因為我是博客系統，管理員用戶就只有我一個人，GitHub的用戶Id是唯一的，我將自己的UserId配置進去，當我們通過api獲取到UserId和自己配置的UserId一致時，就為其授權，你就是我，我認可你，你可以進入后臺隨意玩耍了，

在開始寫介面之前，還有一些作業要做，就是在 .net core 中開啟使用我們的身份認證和授權，因為.HttpApi.Hosting層參考了專案.Application，.Application層本身也需要添加Microsoft.AspNetCore.Authentication.JwtBearer，所以在.Application添加包：Microsoft.AspNetCore.Authentication.JwtBearer，打開程式包管理器控制臺用命令Install-Package Microsoft.AspNetCore.Authentication.JwtBearer安裝，這樣就不需要重復添加參考了，

在.HttpApi.Hosting模塊類MeowvBlogHttpApiHostingModule，ConfigureServices中添加

public override void ConfigureServices(ServiceConfigurationContext context)
{
    // 身份驗證
    context.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
           .AddJwtBearer(options =>
           {
               options.TokenValidationParameters = new TokenValidationParameters
               {
                   ValidateIssuer = true,
                   ValidateAudience = true,
                   ValidateLifetime = true,
                   ClockSkew = TimeSpan.FromSeconds(30),
                   ValidateIssuerSigningKey = true,
                   ValidAudience = AppSettings.JWT.Domain,
                   ValidIssuer = AppSettings.JWT.Domain,
                   IssuerSigningKey = new SymmetricSecurityKey(AppSettings.JWT.SecurityKey.GetBytes())
               };
           });

    // 認證授權
    context.Services.AddAuthorization();

    // Http請求
    context.Services.AddHttpClient();
}

因為待會我們要在代碼中呼叫GitHub的api，所以這里提前將System.Net.Http.IHttpClientFactory和相關服務添加到IServiceCollection中，

解釋一下TokenValidationParameters引數的含義：

ValidateIssuer：是否驗證頒發者，ValidateAudience：是否驗證訪問群體，ValidateLifetime：是否驗證生存期，ClockSkew：驗證Token的時間偏移量，ValidateIssuerSigningKey：是否驗證安全密鑰，ValidAudience：訪問群體，ValidIssuer：頒發者，IssuerSigningKey：安全密鑰，
GetBytes()是abp的一個擴展方法，可以直接使用，

設定值全部為true，時間偏移量為30秒，然后將ValidAudience、ValidIssuer、IssuerSigningKey的值配置在appsettings.json中，這些值都是可以自定義的，不一定按照我填的來，

//appsettings.json
{
  ...
  "JWT": {
    "Domain": "https://localhost:44388",
    "SecurityKey": "H4sIAAAAAAAAA3N0cnZxdXP38PTy9vH18w8I9AkOCQ0Lj4iMAgDB4fXPGgAAAA==",
    "Expires": 30
  }
}

//AppSettings.cs
...
        public static class JWT
        {
            public static string Domain => _config["JWT:Domain"];

            public static string SecurityKey => _config["JWT:SecurityKey"];

            public static int Expires => Convert.ToInt32(_config["JWT:Expires"]);
        }
...

Expires是我們的token過期時間，這里也給個30，至于它是30分鐘還是30秒，由你自己決定，

SecurityKey是我隨便用編碼工具進行生成的，

同時在OnApplicationInitialization(ApplicationInitializationContext context)中使用它，

...
        public override void OnApplicationInitialization(ApplicationInitializationContext context)
        {
            ...
            // 身份驗證
            app.UseAuthentication();

            // 認證授權
            app.UseAuthorization();
            ...
        }
...

此時配置就完成了，接下來去寫介面生成Token并在Swagger中運用起來，

在.Application層之前已經添加了包：Microsoft.AspNetCore.Authentication.JwtBearer，直接新建Authorize檔案夾，添加介面IAuthorizeService以及實作類AuthorizeService，

//IAuthorizeService.cs
using Meowv.Blog.ToolKits.Base;
using System.Threading.Tasks;

namespace Meowv.Blog.Application.Authorize
{
    public interface IAuthorizeService
    {
        /// <summary>
        /// 獲取登錄地址(GitHub)
        /// </summary>
        /// <returns></returns>
        Task<ServiceResult<string>> GetLoginAddressAsync();

        /// <summary>
        /// 獲取AccessToken
        /// </summary>
        /// <param name="code"></param>
        /// <returns></returns>
        Task<ServiceResult<string>> GetAccessTokenAsync(string code);

        /// <summary>
        /// 登錄成功，生成Token
        /// </summary>
        /// <param name="access_token"></param>
        /// <returns></returns>
        Task<ServiceResult<string>> GenerateTokenAsync(string access_token);
    }
}

添加三個介面成員方法，全部為異步的方式，同時注意我們是用之前撰寫的回傳模型接收噢，然后一一去實作他們，

先實作GetLoginAddressAsync()，咱們構建一個AuthorizeRequest物件，用來填充生成GitHub登錄地址，在.ToolKits層新建GitHub檔案夾，參考.Domain專案，添加類：AuthorizeRequest.cs，

//AuthorizeRequest.cs
using Meowv.Blog.Domain.Configurations;
using System;

namespace Meowv.Blog.ToolKits.GitHub
{
    public class AuthorizeRequest
    {
        /// <summary>
        /// Client ID
        /// </summary>
        public string Client_ID = GitHubConfig.Client_ID;

        /// <summary>
        /// Authorization callback URL
        /// </summary>
        public string Redirect_Uri = GitHubConfig.Redirect_Uri;

        /// <summary>
        /// State
        /// </summary>
        public string State { get; set; } = Guid.NewGuid().ToString("N");

        /// <summary>
        /// 該引數可選，需要呼叫Github哪些資訊，可以填寫多個，以逗號分割，比如：scope=user,public_repo，
        /// 如果不填寫，那么你的應用程式將只能讀取Github公開的資訊，比如公開的用戶資訊，公開的庫(repository)資訊以及gists資訊
        /// </summary>
        public string Scope { get; set; } = "user,public_repo";
    }
}

實作方法如下，拼接引數，輸出GitHub重定向的地址，

...
        /// <summary>
        /// 獲取登錄地址(GitHub)
        /// </summary>
        /// <returns></returns>
        public async Task<ServiceResult<string>> GetLoginAddressAsync()
        {
            var result = new ServiceResult<string>();

            var request = new AuthorizeRequest();
            var address = string.Concat(new string[]
            {
                    GitHubConfig.API_Authorize,
                    "?client_id=", request.Client_ID,
                    "&scope=", request.Scope,
                    "&state=", request.State,
                    "&redirect_uri=", request.Redirect_Uri
            });

            result.IsSuccess(address);
            return await Task.FromResult(result);
        }
...

同樣的，實作GetAccessTokenAsync(string code)，構建AccessTokenRequest物件，在.ToolKitsGitHub檔案夾添加類：AccessTokenRequest.cs，

//AccessTokenRequest.cs
using Meowv.Blog.Domain.Configurations;

namespace Meowv.Blog.ToolKits.GitHub
{
    public class AccessTokenRequest
    {
        /// <summary>
        /// Client ID
        /// </summary>
        public string Client_ID = GitHubConfig.Client_ID;

        /// <summary>
        /// Client Secret
        /// </summary>
        public string Client_Secret = GitHubConfig.Client_Secret;

        /// <summary>
        /// 呼叫API_Authorize獲取到的Code值
        /// </summary>
        public string Code { get; set; }

        /// <summary>
        /// Authorization callback URL
        /// </summary>
        public string Redirect_Uri = GitHubConfig.Redirect_Uri;

        /// <summary>
        /// State
        /// </summary>
        public string State { get; set; }
    }
}

根據登錄成功得到的code來獲取AccessToken，因為涉及到HTTP請求，在這之前我們需要在建構式中依賴注入IHttpClientFactory，使用IHttpClientFactory創建HttpClient，

...
private readonly IHttpClientFactory _httpClient;

public AuthorizeService(IHttpClientFactory httpClient)
{
    _httpClient = httpClient;
}
...

...
        /// <summary>
        /// 獲取AccessToken
        /// </summary>
        /// <param name="code"></param>
        /// <returns></returns>
        public async Task<ServiceResult<string>> GetAccessTokenAsync(string code)
        {
            var result = new ServiceResult<string>();

            if (string.IsNullOrEmpty(code))
            {
                result.IsFailed("code為空");
                return result;
            }

            var request = new AccessTokenRequest();

            var content = new StringContent($"code={code}&client_id={request.Client_ID}&redirect_uri={request.Redirect_Uri}&client_secret={request.Client_Secret}");
            content.Headers.ContentType = new MediaTypeHeaderValue("application/x-www-form-urlencoded");

            using var client = _httpClient.CreateClient();
            var httpResponse = await client.PostAsync(GitHubConfig.API_AccessToken, content);

            var response = await httpResponse.Content.ReadAsStringAsync();

            if (response.StartsWith("access_token"))
                result.IsSuccess(response.Split("=")[1].Split("&").First());
            else
                result.IsFailed("code不正確");

            return result;
        }
...

使用IHttpClientFactory創建HttpClient可以自動釋放物件，用HttpClient發送一個POST請求，如果GitHub服務器給我們回傳了帶access_token的字串便表示成功了，將其處理一下輸出access_token，如果沒有，就代表引數code有誤，

在.HttpApi層新建一個AuthController控制器，注入我們的IAuthorizeServiceService，試試我們的介面，

//AuthController.cs
using Meowv.Blog.Application.Authorize;
using Meowv.Blog.ToolKits.Base;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using System.Threading.Tasks;
using Volo.Abp.AspNetCore.Mvc;
using static Meowv.Blog.Domain.Shared.MeowvBlogConsts;

namespace Meowv.Blog.HttpApi.Controllers
{
    [ApiController]
    [AllowAnonymous]
    [Route("[controller]")]
    [ApiExplorerSettings(GroupName = Grouping.GroupName_v4)]
    public class AuthController : AbpController
    {
        private readonly IAuthorizeService _authorizeService;

        public AuthController(IAuthorizeService authorizeService)
        {
            _authorizeService = authorizeService;
        }

        /// <summary>
        /// 獲取登錄地址(GitHub)
        /// </summary>
        /// <returns></returns>
        [HttpGet]
        [Route("url")]
        public async Task<ServiceResult<string>> GetLoginAddressAsync()
        {
            return await _authorizeService.GetLoginAddressAsync();
        }

        /// <summary>
        /// 獲取AccessToken
        /// </summary>
        /// <param name="code"></param>
        /// <returns></returns>
        [HttpGet]
        [Route("access_token")]
        public async Task<ServiceResult<string>> GetAccessTokenAsync(string code)
        {
            return await _authorizeService.GetAccessTokenAsync(code);
        }
    }
}

注意這里我們添加了兩個Attribute：[AllowAnonymous]、[ApiExplorerSettings(GroupName = Grouping.GroupName_v4)]，在.Swagger層中為AuthController添加描述資訊

...
new OpenApiTag {
    Name = "Auth",
    Description = "JWT模式認證授權",
    ExternalDocs = new OpenApiExternalDocs { Description = "JSON Web Token" }
}
...

打開Swagger檔案，呼叫一下我們兩個介面看看效果，

3

然后打開我們生成的重定向地址，會跳轉到登錄頁面，如下：

4

點擊Authorize按鈕，登錄成功后會跳轉至我們配置的回呼頁面，.../account/auth?code=10b7a58c7ba2e4414a14&state=a1ef05212c3b4a2cb2bbd87846dd4a8e

然后拿到code(10b7a58c7ba2e4414a14)，在去呼叫一下獲取AccessToken介面，成功回傳我們的access_token(97eeafd5ca01b3719f74fc928440c89d59f2eeag)，

5

拿到access_token，就可以去呼叫獲取用戶資訊API了，在這之前我們先來寫幾個擴展方法，待會和以后都用得著，在.ToolKits層新建檔案夾Extensions，添加幾個比較常用的擴展類(...)，

擴展類的代碼我就不貼出來了，大家可以去GitHub(https://github.com/Meowv/Blog/tree/blog_tutorial/src/Meowv.Blog.ToolKits/Extensions)自行下載，每個擴展方法都有具體的注釋，

接下來實作GenerateTokenAsync(string access_token)，生成Token，

有了access_token，可以直接呼叫獲取用戶資訊的介面：https://api.github.com/user?access_token=97eeafd5ca01b3719f74fc928440c89d59f2eeag ，會得到一個json，將這個json包裝成一個模型類UserResponse.cs，

在這里教大家一個小技巧，如果你需要將json或者xml轉換成模型類，可以使用Visual Studio的一個快捷功能，點擊左上角選單：編輯 => 選擇性粘貼 => 將JSON粘貼為類/將XML粘貼為類，是不是很方便，快去試試吧，

//UserResponse.cs
namespace Meowv.Blog.ToolKits.GitHub
{
    public class UserResponse
    {
        public string Login { get; set; }

        public int Id { get; set; }

        public string Avatar_url { get; set; }

        public string Html_url { get; set; }

        public string Repos_url { get; set; }

        public string Name { get; set; }

        public string Company { get; set; }

        public string Blog { get; set; }

        public string Location { get; set; }

        public string Email { get; set; }

        public string Bio { get; set; }

        public int Public_repos { get; set; }
    }
}

然后看一下具體生成token的方法吧，

...
        /// <summary>
        /// 登錄成功，生成Token
        /// </summary>
        /// <param name="access_token"></param>
        /// <returns></returns>
        public async Task<ServiceResult<string>> GenerateTokenAsync(string access_token)
        {
            var result = new ServiceResult<string>();

            if (string.IsNullOrEmpty(access_token))
            {
                result.IsFailed("access_token為空");
                return result;
            }

            var url = $"{GitHubConfig.API_User}?access_token={access_token}";
            using var client = _httpClient.CreateClient();
            client.DefaultRequestHeaders.Add("User-Agent", "Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/83.0.4103.14 Safari/537.36 Edg/83.0.478.13");
            var httpResponse = await client.GetAsync(url);
            if (httpResponse.StatusCode != HttpStatusCode.OK)
            {
                result.IsFailed("access_token不正確");
                return result;
            }

            var content = await httpResponse.Content.ReadAsStringAsync();

            var user = content.FromJson<UserResponse>();
            if (user.IsNull())
            {
                result.IsFailed("未獲取到用戶資料");
                return result;
            }

            if (user.Id != GitHubConfig.UserId)
            {
                result.IsFailed("當前賬號未授權");
                return result;
            }

            var claims = new[] {
                    new Claim(ClaimTypes.Name, user.Name),
                    new Claim(ClaimTypes.Email, user.Email),
                    new Claim(JwtRegisteredClaimNames.Exp, $"{new DateTimeOffset(DateTime.Now.AddMinutes(AppSettings.JWT.Expires)).ToUnixTimeSeconds()}"),
                    new Claim(JwtRegisteredClaimNames.Nbf, $"{new DateTimeOffset(DateTime.Now).ToUnixTimeSeconds()}")
                };

            var key = new SymmetricSecurityKey(AppSettings.JWT.SecurityKey.SerializeUtf8());
            var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

            var securityToken = new JwtSecurityToken(
                issuer: AppSettings.JWT.Domain,
                audience: AppSettings.JWT.Domain,
                claims: claims,
                expires: DateTime.Now.AddMinutes(AppSettings.JWT.Expires),
                signingCredentials: creds);

            var token = new JwtSecurityTokenHandler().WriteToken(securityToken);

            result.IsSuccess(token);
            return await Task.FromResult(result);
        }
...

GitHub的這個API做了相應的安全機制，有一點要注意一下，當我們用代碼去模擬請求的時候，需要給他加上User-Agent，不然是不會成功回傳結果的，

FromJson<T>是之前我們添加的擴展方法，將JSON字串轉為物體物件，

SymmetricSecurityKey(byte[] key)接收一個byte[]引數，這里也用到一個擴展方法SerializeUtf8()字串序列化成位元組序列，

我們判斷回傳的Id是否為我們配置的用戶Id，如果是的話，就驗證成功，進行授權，生成Token，

生成Token的代碼也很簡單，指定了 Name，Email，過期時間為30分鐘，具體各項含義可以去這里看看：https://tools.ietf.org/html/rfc7519，

最后呼叫new JwtSecurityTokenHandler().WriteToken(SecurityToken token)便可成功生成Token，在Controller添加好，去試試吧，

...
        /// <summary>
        /// 登錄成功，生成Token
        /// </summary>
        /// <param name="access_token"></param>
        /// <returns></returns>
        [HttpGet]
        [Route("token")]
        public async Task<ServiceResult<string>> GenerateTokenAsync(string access_token)
        {
            return await _authorizeService.GenerateTokenAsync(access_token);
        }
...

6

將之前拿到的access_token傳進去，呼叫介面可以看到已經成功生成了token，

前面為AuthController添加了一個Attribute：[AllowAnonymous]，代表這個Controller下的介面都不需要授權，就可以訪問，當然你不添加的話默認也是開放的，可以為整個Controller指定，同時也可以為具體的介面指定，

當想要保護某個介面時，只需要加上Attribute：[Authorize]就可以了，現在來保護我們的BlogController下非查詢介面，給增刪改添加上[Authorize]，注意參考命名空間Microsoft.AspNetCore.Authorization，

...
        ...
        /// <summary>
        /// 添加博客
        /// </summary>
        /// <param name="dto"></param>
        /// <returns></returns>
        [HttpPost]
        [Authorize]
        public async Task<ServiceResult<string>> InsertPostAsync([FromBody] PostDto dto)
        ...

        /// <summary>
        /// 洗掉博客
        /// </summary>
        /// <param name="id"></param>
        /// <returns></returns>
        [HttpDelete]
        [Authorize]
        public async Task<ServiceResult> DeletePostAsync([Required] int id)
        ...

        /// <summary>
        /// 更新博客
        /// </summary>
        /// <param name="id"></param>
        /// <param name="dto"></param>
        /// <returns></returns>
        [HttpPut]
        [Authorize]
        public async Task<ServiceResult<string>> UpdatePostAsync([Required] int id, [FromBody] PostDto dto)
        ...

        /// <summary>
        /// 查詢博客
        /// </summary>
        /// <param name="id"></param>
        /// <returns></returns>
        [HttpGet]
        public async Task<ServiceResult<PostDto>> GetPostAsync([Required] int id)
        ...
...

現在編譯運行一下，呼叫上面的增刪改看看能不能成功？

7

這時介面就會直接給我們回傳一個狀態碼為401的錯誤，為了避免這種不友好的錯誤，我們可以添加一個中間件來處理我們的管道請求或者在AddJwtBearer()中處理我們的身份驗證事件機制，當遇到錯誤的狀態碼時，我們還是回傳我們之前的創建的模型，定義友好的回傳錯誤，將在后面篇章中給出具體方法，

可以看到公開的API和需要授權的API小綠鎖是不一樣的，公開的顯示為黑色，需要授權的顯示為灰色，

如果需要在Swagger中呼叫我們的非公開API，要怎么做呢？點擊我們的小綠鎖將生成的token按照Bearer {Token}的方式填進去即可，

8

注意不要點Logout，否則就退出了，

9

可以看到當我們請求的時候，請求頭上多了一個authorization: Bearer {token}，此時便大功告成了，當我們在web中呼叫的時候，也遵循這個規則即可，

特別提示

在我做授權的時候，token也生成成功了，也在Swagger中正確填寫Bearer {token}了，呼叫介面的時候始侄訓是回傳401，最終發現導致這個問題的原因是在配置Swagger小綠鎖時一個錯誤名稱導致的，

10

看他的描述為：A unique name for the scheme, as per the Swagger spec.(根據Swagger規范，該方案的唯一名稱)

如圖，將其名稱改為 "oauth2" ，便可以成功授權，本篇接入了GitHub，實作了認證和授權，用JWT的方式保護我們寫的API，你學會了嗎？??????

開源地址：https://github.com/Meowv/Blog/tree/blog_tutorial

轉載請註明出處，本文鏈接：https://www.uj5u.com/net/24069.html

標籤：.NET Core

上一篇：在Linux上搭建基于開源技術的nuget私人保密倉庫

下一篇：EventBus/EventQueue 再思考

標籤雲
其他(157675) Python(38076) JavaScript(25376) Java(17977) C(15215) 區塊鏈(8255) C＃(7972) AI(7469) 爪哇(7425) MySQL(7132) html(6777) 基礎類(6313) sql(6102) 熊猫(6058) PHP(5869) 数组(5741) R(5409) Linux(5327) 反应(5209) 腳本語言(PerlPython)(5129) 非技術區(4971) Android(4554) 数据框(4311) css(4259) 节点.js(4032) C語言(3288) json(3245) 列表(3129) 扑(3119) C++語言(3117) 安卓(2998) 打字稿(2995) VBA(2789) Java相關(2746) 疑難問題(2699) 细绳(2522) 單片機工控(2479) iOS(2429) ASP.NET(2402) MongoDB(2323) 麻木的(2285) 正则表达式(2254) 字典(2211) 循环(2198) 迅速(2185) 擅长(2169) 镖(2155) 功能(1967) .NET技术(1958) Web開發(1951) python-3.x(1918) HtmlCss(1915) 弹簧靴(1913) C++(1909) xml(1889) PostgreSQL(1872) .NETCore(1853) 谷歌表格(1846) Unity3D(1843) for循环(1842)

熱門瀏覽
  • WebAPI簡介

    Web體系結構： 有三個核心：資源(resource)，URL(統一資源識別符號)和表示 他們的關系是這樣的：一個資源由一個URL進行標識，HTTP客戶端使用URL定位資源，表示是從資源回傳資料，媒體型別是資源回傳的資料格式。 接下來我們說下HTTP. HTTP協議的系統是一種無狀態的方式，使用請求/ ......

    uj5u.com 2020-09-09 22:07:47 more
  • asp.net core 3.1 入口：Program.cs中的Main函式

    本文分析Program.cs 中Main()函式中代碼的運行順序分析asp.net core程式的啟動，重點不是剖析原始碼，而是理清程式開始時執行的順序。到呼叫了哪些實體，哪些法方。asp.net core 3.1 的程式入口在專案Program.cs檔案里，如下。ususing System; us ......

    uj5u.com 2020-09-09 22:07:49 more
  • asp.net網站作為websocket服務端的應用該如何寫

    最近被websocket的一個問題困擾了很久，有一個需求是在web網站中搭建websocket服務。客戶端通過網頁與服務器建立連接，然后服務器根據ip給客戶端網頁發送資訊。 其實，這個需求并不難，只是剛開始對websocket的內容不太了解。上網搜索了一下，有通過asp.net core 實作的、有 ......

    uj5u.com 2020-09-09 22:08:02 more
  • ASP.NET 開源匯入匯出庫Magicodes.IE Docker中使用

    Magicodes.IE在Docker中使用 更新歷史 2019.02.13 【Nuget】版本更新到2.0.2 【匯入】修復單列匯入的Bug，單元測驗“OneColumnImporter_Test”。問題見（https://github.com/dotnetcore/Magicodes.IE/is ......

    uj5u.com 2020-09-09 22:08:05 more
  • 在webform中使用ajax

    如果你用過Asp.net webform， 說明你也算是.NET 開發的老兵了。WEBform應該是2011 2013左右，當時還用visual studio 2005、 visual studio 2008。后來基本都用的是MVC。 如果是新開發的專案，估計沒人會用webform技術。但是有些舊版 ......

    uj5u.com 2020-09-09 22:08:50 more
  • iis添加asp.net網站，訪問提示：由于擴展配置問題而無法提供您請求的

    今天在iis服務器配置asp.net網站，遇到一個問題，記錄一下： 問題：由于擴展配置問題而無法提供您請求的頁面。如果該頁面是腳本，請添加處理程式。如果應下載檔案，請添加 MIME 映射。 WindowServer2012服務器，添加角色安裝完.netframework和iis之后，運行aspx頁面 ......

    uj5u.com 2020-09-09 22:10:00 more
  • WebAPI-處理架構

    帶著問題去思考，大家好！ 問題1：HTTP請求和回傳相應的HTTP回應資訊之間發生了什么？ 1：首先是最底層，托管層，位于WebAPI和底層HTTP堆疊之間 2：其次是 訊息處理程式管道層，這里比如日志和快取。OWIN的參考是將訊息處理程式管道的一些功能下移到堆疊下端的OWIN中間件了。 3：控制器處理 ......

    uj5u.com 2020-09-09 22:11:13 more
  • 微信門戶開發框架-使用指導說明書

    微信門戶應用管理系統，采用基于 MVC + Bootstrap + Ajax + Enterprise Library的技術路線，界面層采用Boostrap + Metronic組合的前端框架，資料訪問層支持Oracle、SQLServer、MySQL、PostgreSQL等資料庫。框架以MVC5，... ......

    uj5u.com 2020-09-09 22:15:18 more
  • WebAPI-HTTP編程模型

    帶著問題去思考，大家好！它是什么？它包含什么？它能干什么？ 訊息 HTTP編程模型的核心就是訊息抽象，表示為：HttPRequestMessage,HttpResponseMessage.用于客戶端和服務端之間交換請求和回應訊息。 HttpMethod類包含了一組靜態屬性： private stat ......

    uj5u.com 2020-09-09 22:15:23 more
  • 部署WebApi隨筆

    一、跨域 NuGet參考Microsoft.AspNet.WebApi.Cors WebApiConfig.cs中配置： // Web API 配置和服務 config.EnableCors(new EnableCorsAttribute("*", "*", "*")); 二、清除默認回傳XML格式 ......

    uj5u.com 2020-09-09 22:15:48 more
最新发布
  • C#多執行緒學習(二) 如何操縱一個執行緒

    <a href="https://www.cnblogs.com/x-zhi/" target="_blank"><img width="48" height="48" class="pfs" src="https://pic.cnblogs.com/face/2943582/20220801082530.png" alt="" /></...

    uj5u.com 2023-04-19 09:17:20 more
  • C#多執行緒學習(二) 如何操縱一個執行緒

    C#多執行緒學習(二) 如何操縱一個執行緒 執行緒學習第一篇：C#多執行緒學習(一) 多執行緒的相關概念 下面我們就動手來創建一個執行緒，使用Thread類創建執行緒時，只需提供執行緒入口即可。（執行緒入口使程式知道該讓這個執行緒干什么事） 在C#中，執行緒入口是通過ThreadStart代理（delegate）來提供的 ......

    uj5u.com 2023-04-19 09:16:49 more
  • 記一次 .NET某醫療器械清洗系統 卡死分析

    <a href="https://www.cnblogs.com/huangxincheng/" target="_blank"><img width="48" height="48" class="pfs" src="https://pic.cnblogs.com/face/214741/20200614104537.png" alt="" /&g...

    uj5u.com 2023-04-18 08:39:04 more
  • 記一次 .NET某醫療器械清洗系統 卡死分析

    一：背景 1. 講故事 前段時間協助訓練營里的一位朋友分析了一個程式卡死的問題，回過頭來看這個案例比較經典，這篇稍微整理一下供后來者少踩坑吧。 二：WinDbg 分析 1. 為什么會卡死 因為是表單程式，理所當然就是看主執行緒此時正在做什么? 可以用 ~0s ; k 看一下便知。 0:000> k # ......

    uj5u.com 2023-04-18 08:33:10 more
  • SignalR, No Connection with that ID，IIS

    <a href="https://www.cnblogs.com/smartstar/" target="_blank"><img width="48" height="48" class="pfs" src="https://pic.cnblogs.com/face/u36196.jpg" alt="" /></a>...

    uj5u.com 2023-03-30 17:21:52 more
  • 一次對pool的誤用導致的.net頻繁gc的診斷分析

    <a href="https://www.cnblogs.com/dotnet-diagnostic/" target="_blank"><img width="48" height="48" class="pfs" src="https://pic.cnblogs.com/face/3115652/20230225090434.png" alt=""...

    uj5u.com 2023-03-28 10:15:33 more
  • 一次對pool的誤用導致的.net頻繁gc的診斷分析

    <a href="https://www.cnblogs.com/dotnet-diagnostic/" target="_blank"><img width="48" height="48" class="pfs" src="https://pic.cnblogs.com/face/3115652/20230225090434.png" alt=""...

    uj5u.com 2023-03-28 10:13:31 more
  • C#遍歷指定檔案夾中所有檔案的3種方法

    <a href="https://www.cnblogs.com/xbhp/" target="_blank"><img width="48" height="48" class="pfs" src="https://pic.cnblogs.com/face/957602/20230310105611.png" alt="" /></a&...

    uj5u.com 2023-03-27 14:46:55 more
  • C#/VB.NET：如何將PDF轉為PDF/A

    <a href="https://www.cnblogs.com/Carina-baby/" target="_blank"><img width="48" height="48" class="pfs" src="https://pic.cnblogs.com/face/2859233/20220427162558.png" alt="" />...

    uj5u.com 2023-03-27 14:46:35 more
  • 武裝你的WEBAPI-OData聚合查詢

    <a href="https://www.cnblogs.com/podolski/" target="_blank"><img width="48" height="48" class="pfs" src="https://pic.cnblogs.com/face/616093/20140323000327.png" alt="" /><...

    uj5u.com 2023-03-27 14:46:16 more

Copyright © 2010-2020 有解無憂