Web开发：C# MVC + Session机制&JWT令牌实现授权免登录demo

一、Session+token根本demo

【需求】
Home/Index 登录界面，校验乐成后可以登录到Main/Index ,用户登录3分钟内关闭网站，再次访问Home/Index时可以免密登录Main/Index
【设置文件-Program.cs】

3. var builder = WebApplication.CreateBuilder(args);
5. // Add services to the container.
6. builder.Services.AddControllersWithViews();
8. //加一个session
9. builder.Services.AddSession(options =>
10. {
11.     options.IdleTimeout = TimeSpan.FromMinutes(3); // 3分钟过期
12.     options.Cookie.HttpOnly = true;
13.     options.Cookie.IsEssential = true;
14. });
16. var app = builder.Build();
18. // Configure the HTTP request pipeline.
19. if (!app.Environment.IsDevelopment())
20. {
21.     app.UseExceptionHandler("/Home/Error");
22.     // The default HSTS value is 30 days. You may want to change this for production scenarios, see https://aka.ms/aspnetcore-hsts.
23.     app.UseHsts();
24. }
26. app.UseHttpsRedirection();
27. app.UseStaticFiles();
29. app.UseRouting();
31. app.UseAuthorization();
33. //使用session
34. app.UseSession();
36. app.MapControllerRoute(
37.     name: "default",
38.     pattern: "{controller=Home}/{action=Index}/{id?}");
40. app.Run();

复制代码

【实现-后端HomeController】

2. using Microsoft.AspNetCore.Mvc;
4. namespace WebApplication1.Controllers
5. {
6.     public class HomeController : Controller
7.     {
8.         public IActionResult Index()
9.         {
10.             return View();
11.         }
13.         [HttpPost]
14.         public IActionResult Login(string username, string password)
15.         {
16.             if (username == "1" && password == "100")//省略数据库读取步骤，假设校验成功了
17.             {
18.                 CreateToken(HttpContext);//设置token
19.                 return RedirectToAction("Index", "Main");//重定向到已登录界面
20.             }
22.             ViewBag.ErrorMessage = "登录失败，账密错误";
23.             return View("Index");//否则重定向到本页
24.         }
26.         private const string TokenSessionKey = "AuthToken";
27.         private const string TokenExpiryKey = "TokenExpiry";
29.         public static void CreateToken(HttpContext context)//创建token
30.         {
31.             var token = Guid.NewGuid().ToString();//设置token
32.             var expiry = DateTime.Now.AddMinutes(3);//设置过期日期
34.             context.Session.SetString(TokenSessionKey, token);
35.             context.Session.SetString(TokenExpiryKey, expiry.ToString("o")); // 使用 ISO 8601 格式
36.         }
38.     }
39. }

复制代码

【实现-后端MainController】

2. using Microsoft.AspNetCore.Mvc;
4. namespace WebApplication1.Controllers
5. {
6.     public class MainController : Controller
7.     {
9.         public IActionResult Index()
10.         {
11.             if (!ValidateToken(HttpContext))//判断是否携带有效token
12.             {
13.                 return RedirectToAction("Index", "Home");//不是则重定向到登录界面
14.             }
16.             return View();//否则重定向到本页（已登录页面）
17.         }
18.         private const string TokenSessionKey = "AuthToken";
19.         private const string TokenExpiryKey = "TokenExpiry";
20.         public static bool ValidateToken(HttpContext context)
21.         {
22.             var token = context.Session.GetString(TokenSessionKey);//尝试获取token
23.             var expiryString = context.Session.GetString(TokenExpiryKey);//尝试获取过期日期
25.             if (token == null || expiryString == null)
26.             {
27.                 return false;//获取不到表明不是登陆状态
28.             }
30.             var expiry = DateTime.Parse(expiryString, null, System.Globalization.DateTimeStyles.RoundtripKind);//使用 ISO 8601 格式解析日期
32.             return DateTime.Now <= expiry;//判断是否过期，如果过期返回false
33.         }
35.     }
36. }

复制代码

【前端-Home/Index】登录界面

2. @{
3.     ViewData["Title"] = "Home";
4. }
6. <h1>Login</h1>
8. <form method="post" action="/Home/Login">
9.     <div>
10.         <label for="username">Username:</label>
11.         <input type="text" id="username" name="username" required />
12.     </div>
13.     <div>
14.         <label for="password">Password:</label>
15.         <input type="password" id="password" name="password" required />
16.     </div>
17.     <button type="submit">Login</button>
18. </form>
20. @if (ViewBag.ErrorMessage != null)
21. {
22.     <p style="color:red;">@ViewBag.ErrorMessage</p>
23. }

复制代码

【小结】
1.HttpContext是当前 HTTP 哀求的上下文信息，它提供了有关哀求和相应的各种数据和服务。
2.以上demo写法不查数据库，不封装AuthService 服务类，仅为展示根本的逻辑
3.前后端交互须要对应控制器名称、控制器下的方法名称
4.利用 ISO 8601 格式（比方 "o"）来存储日期时间值，是为了确保日期时间的尺度化和划一性
5.token 举行免登录时，须要后端管理或存储 token，方法有二：

• 一是服务器或redis存储token
  
• 二是利用JWT将用户信息+逾期时间嵌入 token 中，后端可以验证 token 的有用性从而获取用户id等信息，而不须要存储 token 自己。
  

拓展

Q：如果须要增长注销功能，应该怎样实现？
A ：Main/Index加一个注销按钮，MainController扫除token和逾期时间即可
后端：

2. // 触发注销方法
3.     public IActionResult Logout()
4.     {
5.         HttpContext.Session.Remove(TokenSessionKey); // 清除 token
6.         HttpContext.Session.Remove(TokenExpiryKey);  // 清除过期时间
8.         return RedirectToAction("Index", "Home"); // 注销后重定向到主页
9.     }

复制代码

前端： 

2. <button onclick="logout()">Logout</button> <!-- 注销按钮 -->
3. <script>
4.     function logout() {
5.         fetch('/Main/Logout', { // 调用后端的 Logout 方法
6.             method: 'POST', // 使用 POST 请求
7.             headers: {
8.                 'Content-Type': 'application/json'
9.             },
10.             credentials: 'same-origin' // 确保发送会话 cookie
11.         })
12.         .then(response => {
13.             if (response.ok) {
14.                 window.location.href = '/Home/Index'; // 注销成功后重定向到主页
15.             } else {
16.                 console.error('Logout failed');
17.             }
18.         })
19.         .catch(error => console.error('Error:', error));
20.     }
21. </script>

复制代码

二、JWT令牌根本demo

【需求】（同上）
        Home/Index 登录界面，校验乐成后可以登录到Main/Index ,用户登录3分钟内关闭网站，再次访问Home/Index时可以免密登录Main/Index。
【Home】

2. using Microsoft.AspNetCore.Mvc;
3. using Microsoft.Extensions.Configuration;
4. using Microsoft.IdentityModel.Tokens;
5. using System.IdentityModel.Tokens.Jwt;
6. using System.Security.Claims;
7. using System.Text;
9. public class HomeController : Controller
10. {
11.     private readonly IConfiguration _configuration;
12.     private readonly string _jwtSecret ;
14.     public HomeController(IConfiguration configuration)
15.     {
16.         _configuration = configuration;
17.         _jwtSecret = _configuration.GetConnectionString("DefaultConnection");
18.     }
19.     public IActionResult Index()
20.     {
21.         return View();
22.     }
24.     [HttpPost]
25.     public IActionResult Index(string username, string password)
26.     {     
27.         if (username == "1" && password == "100")// 这里应进行实际的用户验证
28.         {
29.             var token = GenerateJwtToken(username);//生成JWT令牌
30.             Response.Cookies.Append("AuthToken", token, new CookieOptions//将生成的 JWT 存储在浏览器的 Cookie 中，设置 HttpOnly 选项可以防止客户端 JavaScript 访问 Cookie，提高安全性。
31.             {
32.                 HttpOnly = true,
33.                 Expires = DateTime.UtcNow.AddMinutes(3) //过期时间3分钟
34.             });
35.             return RedirectToAction("Index", "Main");
36.         }
37.         ViewBag.ErrorMessage = "登陆失败";
38.         return View("Index");
39.     }
41.     private string GenerateJwtToken(string username)
42.     {
43.         var tokenHandler = new JwtSecurityTokenHandler();
44.         var key = Encoding.ASCII.GetBytes(_jwtSecret);//密钥，用于签名 JWT
45.         var tokenDescriptor = new SecurityTokenDescriptor
46.         {
47.             Subject = new ClaimsIdentity(new Claim[]
48.             {
49.                 new Claim(ClaimTypes.Name, username),//// 设置 JWT 的声明部分，包含用户信息。在这里，我们只设置了用户名
50.                 // 你可以添加更多的声明，如角色、权限等
51.                 new Claim(ClaimTypes.Role, "admin")  // 示例，添加用户角色
52.             }),
53.             Expires = DateTime.UtcNow.AddMinutes(3),//过期时间为3分钟
54.             SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256Signature)//设置 JWT 的签名凭据。SigningCredentials 包含签名的密钥和算法，使用 HMAC-SHA256 算法进行签名
55.         };
56.         var token = tokenHandler.CreateToken(tokenDescriptor);
57.         return tokenHandler.WriteToken(token);// 生成并且返回 JWT 字符串
58.     }
59. }

复制代码

【Main】

2. using Microsoft.AspNetCore.Mvc;
3. using Microsoft.IdentityModel.Tokens;
4. using System.IdentityModel.Tokens.Jwt;
5. using System.Security.Claims;
6. using System.Text;
8. public class MainController : Controller
9. {
10.     private readonly IConfiguration _configuration;
11.     private readonly string _jwtSecret;
12.     public MainController(IConfiguration configuration)
13.     {
14.         _configuration = configuration;
15.         _jwtSecret = _configuration.GetConnectionString("DefaultConnection");
16.     }
18.     public IActionResult Index()
19.     {
20.         var token = Request.Cookies["AuthToken"];//从 Cookie 中读取 JWT（Key设置成了 "AuthToken"，读取它的值token）。
21.         if (ValidateToken(token))//校验token
22.         {
23.             return View();
24.         }
26.         return RedirectToAction("Index", "Home");
27.     }
29.     private bool ValidateToken(string token)
30.     {
31.         if (string.IsNullOrEmpty(token)) return false;
33.         try
34.         {
35.             var tokenHandler = new JwtSecurityTokenHandler();
36.             var key = Encoding.ASCII.GetBytes(_jwtSecret);
38.             // 定义 TokenValidationParameters 用于验证 JWT
39.             var validationParameters = new TokenValidationParameters
40.             {
41.                 ValidateIssuerSigningKey = true,
42.                 IssuerSigningKey = new SymmetricSecurityKey(key),
43.                 ValidateIssuer = false,
44.                 ValidateAudience = false,
45.                 ClockSkew = TimeSpan.Zero
46.             };
48.             // 验证 JWT 并返回解析后的 Token
49.             SecurityToken validatedToken;
50.             var principal = tokenHandler.ValidateToken(token, validationParameters, out validatedToken);
52.             // 从 ClaimsPrincipal 对象中提取用户名
53.             var claim = principal.FindFirst(ClaimTypes.Name);
55.             if (claim != null)
56.             {
57.                 var getname = claim.Value; // 获取用户名
58.                 return true; // 验证成功
59.             }
61.             return false; // 用户名未找到
62.         }
63.         catch
64.         {
65.             return false; // 验证失败
66.         }
67.     }
68. }

复制代码

【Home/Index前端】（Main/Index不展示了= =）

2. @{
3.     ViewData["Title"] = "Home";
4. }
6. <h1>Login</h1>
8. <form method="post" action="/Home">
9.     <div>
10.         <label for="username">Username:</label>
11.         <input type="text" id="username" name="username" required />
12.     </div>
13.     <div>
14.         <label for="password">Password:</label>
15.         <input type="password" id="password" name="password" required />
16.     </div>
17.     <button type="submit">Login</button>
18. </form>
20. @if (ViewBag.ErrorMessage != null)
21. {
22.     <p style="color:red;">@ViewBag.ErrorMessage</p>
23. }

复制代码

【appsettings.json】

2. {
3.   "ConnectionStrings": {
4.     "DefaultConnection": "Server=myServerAddress;Database=myDataBase;User Id=myUsername;Password=myPassword;"
5.   },
6.   "Logging": {
7.     "LogLevel": {
8.       "Default": "Information",
9.       "Microsoft.AspNetCore": "Warning"
10.     }
11.   },
12.   "AllowedHosts": "*",
14.   "Jwt": {
15.     "Key": "123456",
16.     "Issuer": "MyWebApp"
17.   }
19. }

复制代码

【Progarm.cs】

2. using Microsoft.AspNetCore.Authentication.JwtBearer;
3. using Microsoft.IdentityModel.Tokens;
4. using System.Text;
6. var builder = WebApplication.CreateBuilder(args);
8. // Add services to the container.
9. builder.Services.AddControllersWithViews();
11. //加一个session
12. //builder.Services.AddSession(options =>
13. //{
14. //    options.IdleTimeout = TimeSpan.FromMinutes(3); // 3分钟过期
15. //    options.Cookie.HttpOnly = true;
16. //    options.Cookie.IsEssential = true;
17. //});
19. // JWT 相关的配置开始
20. var jwtSettings = builder.Configuration.GetSection("Jwt");
21. var key = Encoding.ASCII.GetBytes(jwtSettings["Key"]);
23. // 配置JWT认证服务
24. builder.Services.AddAuthentication(x =>
25. {
26.     x.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
27.     x.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
28. })
29. .AddJwtBearer(x =>
30. {
31.     x.RequireHttpsMetadata = false;//设置为 false 表示不强制使用 HTTPS（在开发环境中可能是这样，但在生产环境中通常应设置为 true）。
32.     x.SaveToken = true;//SaveToken 为 true 表示在认证成功后，将 JWT 令牌保存到 HttpContext 中。
33.     x.TokenValidationParameters = new TokenValidationParameters
34.     {
35.         ValidateIssuerSigningKey = true,//true 表示验证 JWT 的签名密钥，以确保令牌未被篡改。
36.         IssuerSigningKey = new SymmetricSecurityKey(key),//指定了用于验证签名的密钥。key 是从配置文件中读取的密钥。
37.         ValidateIssuer = true,//true 表示验证 JWT 的发行者（Issuer），确保令牌来自预期的来源。
38.         ValidateAudience = true,//true 表示验证受众（Audience），确保令牌是为预期的接收者颁发的。
39.         ValidIssuer = jwtSettings["Issuer"],//指定了一个有效的发行者（Issuer）值
40.         ValidAudience = jwtSettings["Issuer"], // 指定了一个有效的受众（Audience）值,一般是同上的
41.         ClockSkew = TimeSpan.Zero//允许一些时间差异（例如，服务器和客户端时间不一致）的情况，但在此配置中被禁用了。
42.     };
43. });// JWT 相关的配置结束
45. var app = builder.Build();
47. // Configure the HTTP request pipeline.
48. if (!app.Environment.IsDevelopment())
49. {
50.     app.UseExceptionHandler("/Home/Error");
51.     // The default HSTS value is 30 days. You may want to change this for production scenarios, see https://aka.ms/aspnetcore-hsts.
52.     app.UseHsts();
53. }
55. app.UseHttpsRedirection();
56. app.UseStaticFiles();
58. app.UseRouting();
59. app.UseAuthentication(); // 确保认证在授权之前使用
60. app.UseAuthorization();
62. //使用session
63. //app.UseSession();
65. app.MapControllerRoute(
66.     name: "default",
67.     pattern: "{controller=Home}/{action=Index}/{id?}");
69. app.Run();

复制代码