如何深入理解ASP.NET Core中的Token认证机制？

本文共计2139个文字，预计阅读时间需要9分钟。

Token认证（Token Authentication）已成为单页应用（SPA）和移动应用业务实践的标准。传统B/S应用也能利用其优点。优势明显：极少的客户端数据处理、可扩展性、单点登录。

令牌认证（Token Authentication）已经成为单页应用（SPA）和移动应用事实上的标准。即使是传统的B/S应用也能利用其优点。优点很明白：极少的服务端数据管理、可扩展性、可以使用单独的认证服务器和应用服务器分离。

如果你对令牌（token）不是太了解，可以看这篇文章（ overview of token authentication and JWTs）

令牌认证在asp.net core中集成。其中包括保护Bearer Jwt的路由功能，但是移除了生成token和验证token的部分，这些可以自定义或者使用第三方库来实现，得益于此，MVC和Web api项目可以使用令牌认证，而且很简单。下面将一步一步实现，代码可以在（ 源码）下载。

ASP.NET Core令牌验证

首先，背景知识：认证令牌，例如JWTs，是通过http 认证头传递的，例如：

GET /foo Authorization: Bearer [token]

令牌可以通过浏览器cookies。传递方式是header或者cookies取决于应用和实际情况，对于移动app，使用headers，对于web，推荐在html5 storage中使用cookies，来防止xss攻击。

asp.net core对jwts令牌的验证很简单，特别是你通过header传递。