Giải mã và xác minh mã thông báo JWT bằng System.IdentityModel.Tokens.Jwt

Tôi đang sử dụng thư viện JWT để giải mã Mã thông báo web Json và muốn chuyển sang triển khai JWT chính thức của Microsoft, System.IdentityModel.Tokens.Jwt .

Tài liệu rất thưa thớt, vì vậy tôi đang gặp khó khăn trong việc tìm cách thực hiện những gì tôi đang làm với thư viện JWT. Với thư viện JWT, có một phương thức Giải mã lấy JWT được mã hóa base64 và biến nó thành JSON mà sau đó có thể được giải mã. Tôi muốn làm điều gì đó tương tự bằng cách sử dụng System.IdentityModel.Tokens.Jwt, nhưng sau một thời gian đào bới, không thể tìm ra cách.

Đối với những gì nó đáng giá, tôi đang đọc mã thông báo JWT từ một cookie, để sử dụng với khung nhận dạng của Google.

Bất kỳ trợ giúp sẽ được đánh giá cao.

Trong gói có một lớp được gọi là JwtSecurityTokenHandlerdẫn xuất từ System.IdentityModel.Tokens.SecurityTokenHandler. Trong WIF, đây là lớp cốt lõi để giải mã và tuần tự hóa mã thông báo bảo mật.

Lớp có một ReadToken(String)phương thức sẽ lấy chuỗi JWT được mã hóa base64 của bạn và trả về một chuỗi SecurityTokenđại diện cho JWT.

Nó SecurityTokenHandlercũng có một ValidateToken(SecurityToken)phương thức lấy của bạn SecurityTokenvà tạo ra một ReadOnlyCollection<ClaimsIdentity>. Thông thường đối với JWT, điều này sẽ chứa một ClaimsIdentityđối tượng có một tập hợp các yêu cầu đại diện cho các thuộc tính của JWT ban đầu.

JwtSecurityTokenHandlerxác định một số quá tải bổ sung ValidateToken, cụ thể là nó có ClaimsPrincipal ValidateToken(JwtSecurityToken, TokenValidationParameters)quá tải. Đối TokenValidationParameterssố cho phép bạn chỉ định chứng chỉ ký mã thông báo (dưới dạng danh sách X509SecurityTokens). Nó cũng có một quá tải lấy JWT như một stringthay vì a SecurityToken.

Mã để thực hiện việc này khá phức tạp, nhưng bạn có thể tìm thấy mã Global.asax.cx ( TokenValidationHandlerlớp) trong mẫu nhà phát triển có tên "ADAL - Dịch vụ Native App to REST - Authentication with ACS via Browser Dialog", có tại

http://code.msdn.microsoft.com/AAL-Native-App-to-REST-de57f2cc

Ngoài ra, JwtSecurityTokenlớp có các phương thức bổ sung không có trên SecurityTokenlớp cơ sở , chẳng hạn như một thuộc Claimstính nhận các yêu cầu được chứa mà không cần thông qua ClaimsIdentitybộ sưu tập. Nó cũng có một thuộc Payloadtính trả về một JwtPayloadđối tượng cho phép bạn lấy JSON thô của mã thông báo. Nó phụ thuộc vào kịch bản của bạn mà cách tiếp cận nó phù hợp nhất.

Tài liệu chung (tức là không phải JWT cụ thể) cho SecurityTokenHandlerlớp có tại

http://msdn.microsoft.com/en-us/library/system.identitymodel.tokens.securitytokenhandler.aspx

Tùy thuộc vào ứng dụng của bạn, bạn có thể định cấu hình trình xử lý JWT vào đường ống WIF chính xác như bất kỳ trình xử lý nào khác.

Có 3 mẫu của nó được sử dụng trong các loại ứng dụng khác nhau tại

http://code.msdn.microsoft.com/site/search?f%5B0%5D.Type=SearchText&f%5B0%5D.Value=aal&f%5B1%5D.Type=User&f%5B1%5D.Value=Azure% 20AD% 20Developer% 20Experience% 20Team & f% 5B1% 5D.Text = Azure% 20AD% 20Developer% 20Experience% 20Team

Có thể, một cái sẽ phù hợp với nhu cầu của bạn hoặc ít nhất là có thể thích ứng với chúng.

Tôi chỉ tự hỏi tại sao phải sử dụng một số thư viện để giải mã và xác minh mã thông báo JWT.

Mã thông báo JWT được mã hóa có thể được tạo bằng mã giả sau

var headers = base64URLencode(myHeaders);
var claims = base64URLencode(myClaims);
var payload = header + "." + claims;

var signature = base64URLencode(HMACSHA256(payload, secret));

var encodedJWT = payload + "." + signature;

Nó rất dễ thực hiện mà không cần bất kỳ thư viện cụ thể nào. Sử dụng mã sau:

using System;
using System.Text;
using System.Security.Cryptography;

public class Program
{   
    // More info: https://stormpath.com/blog/jwt-the-right-way/
    public static void Main()
    {           
        var header = "{\"typ\":\"JWT\",\"alg\":\"HS256\"}";
        var claims = "{\"sub\":\"1047986\",\"email\":\"jon.doe@eexample.com\",\"given_name\":\"John\",\"family_name\":\"Doe\",\"primarysid\":\"b521a2af99bfdc65e04010ac1d046ff5\",\"iss\":\"http://example.com\",\"aud\":\"myapp\",\"exp\":1460555281,\"nbf\":1457963281}";

        var b64header = Convert.ToBase64String(Encoding.UTF8.GetBytes(header))
            .Replace('+', '-')
            .Replace('/', '_')
            .Replace("=", "");
        var b64claims = Convert.ToBase64String(Encoding.UTF8.GetBytes(claims))
            .Replace('+', '-')
            .Replace('/', '_')
            .Replace("=", "");

        var payload = b64header + "." + b64claims;
        Console.WriteLine("JWT without sig:    " + payload);

        byte[] key = Convert.FromBase64String("mPorwQB8kMDNQeeYO35KOrMMFn6rFVmbIohBphJPnp4=");
        byte[] message = Encoding.UTF8.GetBytes(payload);

        string sig = Convert.ToBase64String(HashHMAC(key, message))
            .Replace('+', '-')
            .Replace('/', '_')
            .Replace("=", "");

        Console.WriteLine("JWT with signature: " + payload + "." + sig);        
    }

    private static byte[] HashHMAC(byte[] key, byte[] message)
    {
        var hash = new HMACSHA256(key);
        return hash.ComputeHash(message);
    }
}

Mã thông báo giải mã là phiên bản đảo ngược của mã ở trên. Để xác minh chữ ký, bạn sẽ cần phải giống nhau và so sánh phần chữ ký với chữ ký đã tính toán.

CẬP NHẬT: Đối với những người đang gặp khó khăn về cách mã hóa / giải mã urlsafe base64, vui lòng xem một câu hỏi SO khác , cũng như wiki và RFC