如何在 .NET 中实现身份验证和授权？

在现代应用程序中，安全性和用户访问控制是至关重要的。.NET 框架提供了丰富的工具和库来帮助开发人员实现强大的身份验证和授权机制。本文将详细介绍如何在 .NET 应用程序中实现身份验证和授权。

什么是身份验证和授权？

身份验证（Authentication） 是确认用户身份的过程。它通常通过用户名、密码、令牌或其他形式的身份标识来验证用户是否为合法用户。.NET 提供了多种身份验证方法，包括基于表单的身份验证、Windows 身份验证、OAuth、OpenID Connect 等。

授权（Authorization） 是确定用户是否有权限执行特定操作或访问特定资源的过程。授权通常基于用户的角色、权限或声明。.NET 提供了多种授权方式，如基于角色的授权、基于策略的授权以及基于声明的授权。

使用 ASP.NET Core 实现身份验证

ASP.NET Core 是构建 Web 应用程序的强大框架，它内置了对多种身份验证协议的支持。以下是几种常见的身份验证实现方式：

1. 使用 Cookie 身份验证

Cookie 身份验证是最常用的身份验证机制之一，适用于传统的 Web 应用程序。通过在用户登录后创建一个加密的 cookie，服务器可以在后续请求中验证用户的身份。

要在 ASP.NET Core 中启用 Cookie 身份验证，您需要在 Startup.cs 文件中配置服务：

“`csharp
public void ConfigureServices(IServiceCollection services)
{
services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
.AddCookie(options =>
{
options.LoginPath = “/Account/Login”;
options.AccessDeniedPath = “/Account/AccessDenied”;
});
}
“`

然后，在 Configure 方法中启用中间件：

“`csharp
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
app.UseRouting();
app.UseAuthentication(); // 启用身份验证
app.UseAuthorization(); // 启用授权
app.UseEndpoints(endpoints =>
{
endpoints.MapControllers();
});
}
“`

2. 使用 JWT (JSON Web Token) 身份验证

JWT 是一种轻量级的身份验证机制，特别适合用于 API 和无状态应用程序。JWT 令牌包含用户信息和签名，可以在客户端存储并在每次请求时传递给服务器。

要启用 JWT 身份验证，首先需要安装 Microsoft.AspNetCore.Authentication.JwtBearer 包，并在 Startup.cs 中进行配置：

“`csharp
public void ConfigureServices(IServiceCollection services)
{
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJwtBearer(options =>
{
options.TokenValidationParameters = new TokenValidationParameters
{
ValidateIssuer = true,
ValidateAudience = true,
ValidateLifetime = true,
ValidateIssuerSigningKey = true,
ValidIssuer = “yourdomain.com”,
ValidAudience = “yourdomain.com”,
IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(“your_secret_key”))
};
});
}
“`

3. 使用 OAuth 和 OpenID Connect

OAuth 和 OpenID Connect 是第三方身份验证的标准协议，允许用户通过外部提供商（如 Google、Facebook 或 Microsoft）登录。ASP.NET Core 提供了对这些协议的内置支持。

例如，要集成 Google 登录，您可以使用以下代码：

“`csharp
public void ConfigureServices(IServiceCollection services)
{
services.AddAuthentication()
.AddGoogle(options =>
{
options.ClientId = “your-google-client-id”;
options.ClientSecret = “your-google-client-secret”;
});
}
“`

实现授权

一旦用户通过身份验证，下一步就是授权。.NET 提供了多种授权方式，以确保只有经过授权的用户才能访问敏感资源。

1. 基于角色的授权

基于角色的授权是最简单的授权方式之一。您可以根据用户的角色来限制对某些控制器或操作的访问。例如：

“`csharp
[Authorize(Roles = “Admin”)]
public IActionResult AdminPanel()
{
return View();
}
“`

这将确保只有具有“Admin”角色的用户才能访问该操作。

2. 基于策略的授权

基于策略的授权允许您定义更复杂的授权逻辑。策略可以结合多个要求，例如检查用户的年龄、地理位置或自定义属性。

您需要在 Startup.cs 中定义策略：

“`csharp
services.AddAuthorization(options =>
{
options.AddPolicy(“MinimumAge”, policy =>
policy.Requirements.Add(new MinimumAgeRequirement(18)));
});
“`

然后，创建一个实现了 IAuthorizationHandler 接口的要求处理器：

“`csharp
public class MinimumAgeHandler : AuthorizationHandler
{
protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, MinimumAgeRequirement requirement)
{
var userAge = context.User.FindFirst(c => c.Type == “age”)?.Value;
if (userAge != null && int.Parse(userAge) >= requirement.MinimumAge)
{
context.Succeed(requirement);
}
else
{
context.Fail();
}
return Task.CompletedTask;
}
}
“`

3. 基于声明的授权

声明（Claims）是关于用户的信息片段，例如姓名、电子邮件地址或角色。基于声明的授权允许您根据这些信息来做出授权决策。例如：

“`csharp
[Authorize(Policy = “EmailClaim”)]
public IActionResult Index()
{
return View();
}
“`

其中，“EmailClaim”策略可以定义为：

“`csharp
options.AddPolicy(“EmailClaim”, policy =>
policy.RequireClaim(“email”));
“`

.NET 提供了多种灵活且强大的工具来实现身份验证和授权。无论您是构建传统的 Web 应用程序还是现代的 API，都可以根据需求选择合适的身份验证和授权方式。通过合理配置和实现这些机制，您可以确保应用程序的安全性和可靠性。

希望本文能帮助您更好地理解和应用 .NET 中的身份验证和授权功能。如果您有任何问题或需要进一步的帮助，请随时查阅官方文档或社区资源。