ASP.NET Core 中，认证（Authentication）和授权（Authorization）

在 ASP.NET Core 中，认证（Authentication）和授权（Authorization）是两个非常重要的概念。它们确保用户能够安全地访问应用程序，并且在访问过程中能按其权限被正确地控制。接下来，我将详细解释这两个概念，并且如何在 ASP.NET Core 中实现它们。

1. 认证（Authentication）

认证是指验证用户的身份，确保用户是他们声称的身份。在 ASP.NET Core 中，认证通常使用 Cookie、JWT（JSON Web Tokens）、OAuth2、OpenID Connect 等方式实现。

认证的基本流程：

用户输入凭证（用户名、密码、Token等）。
系统验证凭证是否有效。
如果凭证有效，生成一个身份标识（如 JWT 或 Cookie），并将其返回给用户。
用户在后续请求中附带此标识来证明自己的身份。

ASP.NET Core 提供了几种认证机制：

Cookie Authentication：使用 Cookie 来保存用户的身份标识，适用于传统的基于会话的 Web 应用。
JWT Bearer Authentication：使用 JSON Web Token（JWT）进行认证，常用于基于 API 的应用程序（如 SPA 或移动应用）。
OAuth2 / OpenID Connect：授权框架，用于实现第三方认证（例如 Google、Facebook 登录等）。

示例：JWT 认证

在 ASP.NET Core 中配置 JWT 认证的步骤如下：

安装必要的 NuGet 包：

dotnet add package Microsoft.AspNetCore.Authentication.JwtBearer

配置 Startup.cs 中的认证服务：

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
            .AddJwtBearer(options =>
            {
                options.RequireHttpsMetadata = false;
                options.SaveToken = true;
                options.TokenValidationParameters = new TokenValidationParameters
                {
                    ValidateIssuer = true,
                    ValidateAudience = true,
                    ValidateLifetime = true,
                    ValidIssuer = Configuration["Jwt:Issuer"],
                    ValidAudience = Configuration["Jwt:Audience"],
                    IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:SecretKey"]))
                };
            });
}

在 Configure 方法中启用认证：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    app.UseAuthentication();
    app.UseAuthorization();
}

生成 JWT Token：在 Controller 中生成 JWT Token（通常是登录接口中）：

public IActionResult Login([FromBody] LoginModel model)
{
    var claims = new[]
    {
        new Claim(ClaimTypes.Name, model.Username),
        new Claim(ClaimTypes.Role, "Admin")
    };

    var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your_secret_key_here"));
    var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
    var token = new JwtSecurityToken(
        issuer: "your_issuer",
        audience: "your_audience",
        claims: claims,
        expires: DateTime.Now.AddMinutes(30),
        signingCredentials: creds
    );

    return Ok(new { Token = new JwtSecurityTokenHandler().WriteToken(token) });
}

2. 授权（Authorization）

授权是指验证用户是否具有访问特定资源的权限。授权决定了认证用户可以执行哪些操作，访问哪些资源。

ASP.NET Core 的授权可以基于角色、策略或基于要求的授权。

角色授权：

最常见的授权方式是基于角色的授权，用户具有某些角色，系统根据角色来决定是否允许访问资源。

在控制器中使用 [Authorize] 特性进行角色授权：

[Authorize(Roles = "Admin")]
public IActionResult AdminOnly()
{
    return View();
}

策略授权：

策略授权允许你根据自定义的逻辑进行授权，通常结合策略处理更加复杂的授权需求。

创建一个自定义策略：

public class MinimumAgeRequirement : IAuthorizationRequirement
{
    public int MinimumAge { get; }
    public MinimumAgeRequirement(int minimumAge)
    {
        MinimumAge = minimumAge;
    }
}

实现一个授权处理程序：

public classMinimumAgeHandler : AuthorizationHandler<MinimumAgeRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, MinimumAgeRequirement requirement)
    {
        var user = context.User;
        var birthdateClaim = user.FindFirst(c => c.Type == "Birthdate");

        if (birthdateClaim != null)
        {
            var birthdate = DateTime.Parse(birthdateClaim.Value);
            var age = DateTime.Today.Year - birthdate.Year;

            if (age >= requirement.MinimumAge)
            {
                context.Succeed(requirement);
            }
        }

        return Task.CompletedTask;
    }
}

在 Startup.cs 中注册授权策略：

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthorization(options =>
    {
        options.AddPolicy("Over18", policy =>
            policy.Requirements.Add(new MinimumAgeRequirement(18)));
    });
    services.AddSingleton<IAuthorizationHandler, MinimumAgeHandler>();
}

在控制器中使用策略授权：

[Authorize(Policy = "Over18")]
public IActionResult RestrictedContent()
{
    return View();
}

3. 区别与结合

认证：通过验证用户身份来确认用户是谁，通常通过 Cookie 或 Token 来维持。
授权：根据用户的角色或权限，决定是否允许其执行某些操作或访问某些资源。

这两者通常是配合使用的，认证用于确认用户身份，授权用于控制其能访问哪些资源或执行哪些操作。

4. 总结

在 ASP.NET Core 中，认证和授权是保障 Web 应用安全的关键部分。你可以根据应用的需求选择不同的认证和授权方式。例如，如果你有一个 API，你可能会选择使用 JWT 认证，而对于 Web 应用则可能会使用 Cookie 认证。而授权则可以通过角色、策略等多种方式进行。通过合理配置认证和授权，可以确保应用程序安全，并且按照最小权限原则来控制用户的访问。