对.NET 4.8WebAPI使用多JWT承载身份验证
.NET 4.8 WebAPI是一种基于.NET框架的Web应用程序接口（API）开发工具。它提供了一种简单且可扩展的方式来构建和发布Web服务，以便其他应用程序可以通过HTTP协议与之交互。
JWT（JSON Web Token）是一种用于身份验证和授权的开放标准。它由三部分组成：头部（Header）、载荷（Payload）和签名（Signature）。JWT的优势在于它是无状态的，服务器不需要存储会话信息，只需验证签名即可信任该令牌。
使用多JWT承载身份验证意味着在进行身份验证时，可以使用多个JWT令牌来验证用户的身份。这种方法可以增加安全性和灵活性，因为每个令牌可以具有不同的访问权限和过期时间。
应用场景：
- 多租户系统：在一个系统中，不同的租户可以使用不同的JWT令牌进行身份验证和授权，以实现数据隔离和权限管理。
- 分布式系统：在一个分布式系统中，不同的服务可以使用不同的JWT令牌进行身份验证和授权，以实现服务间的安全通信。
- 移动应用程序：在移动应用程序中，可以使用多个JWT令牌来实现用户身份验证和授权，以及对不同功能和资源的访问控制。
推荐的腾讯云相关产品： 腾讯云提供了一系列与身份验证和授权相关的产品和服务，可以与.NET 4.8 WebAPI结合使用，以增强系统的安全性和可靠性。
- 腾讯云身份认证服务（CAM）：CAM提供了一套完整的身份认证和访问管理解决方案，可以帮助用户实现对API的身份验证和授权管理。了解更多：腾讯云身份认证服务（CAM）
- 腾讯云API网关（API Gateway）：API网关可以帮助用户管理和发布API，并提供身份验证和访问控制功能。用户可以使用API网关来验证和授权多个JWT令牌。了解更多：腾讯云API网关（API Gateway）
- 腾讯云密钥管理系统（KMS）：KMS提供了一种安全且可靠的方式来管理和使用加密密钥，可以用于对JWT令牌进行签名和验证。了解更多：腾讯云密钥管理系统（KMS）
请注意，以上推荐的腾讯云产品仅作为参考，具体选择应根据实际需求和系统架构进行评估和决策。
相关·内容
2回答
我是asp.net核心的新手，希望在WEB 2项目中实现身份验证和授权。我对使用basic身份验证、承载令牌、JWT令牌或其他任何方法有点困惑。请提出更多更好的谢谢
浏览 5提问于2017-07-04得票数 2
回答已采纳
1回答
我有一个web用ASP.NET写的，前端用角写的。API端的身份验证可以配置为使用Windows身份验证、ADFS身份验证或JWT Bearer。但是对于特定的部署，只支持一种类型的身份验证。
对于ADFS身份验证，我在角度侧使用角-OAuth2-oidc。
在API方面，我就是这样在startup.cs文件中配置ADFS身份验证的。
public void ConfigureAuth(IAppBuilder app)
{
app.UseActiveDirectoryFederationServicesBearerAuthentication
浏览 3提问于2020-02-18得票数 1
1回答
我们有一个ASP.NET核心Web，我想用来保护它。图形标记是有效的，我可以进行图形调用，它可以很好地工作。
但是，如果我尝试访问使用JWT身份验证配置的ASP.NET Core，则会出现以下错误。
无记名error="invalid_token"，error_description=“未找到签名密钥”
我是否遗漏了一些要配置的配置，或者这是图形标记的问题？下面是如何配置身份验证。
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
.AddJ
浏览 1提问于2019-04-02得票数 3
回答已采纳
我使用Sprint、security和JWT完成了一个示例应用程序，并定义了我的自定义身份验证和授权过滤器。在执行基本身份验证(传递用户名和密码)时，我得到了xxxx.yyyy.zzzz格式的JWT令牌，其中xxxx是头，yyyy是有效负载，zzzz是签名，每个部分都使用Base64URL编码器进行编码。我不明白的是，JWT与OAuth 2.0有何不同。在OAuth 2.0中，我们可以将2种类型的grant_types传递为“用户名”或“客户端凭据”&还需要传递客户端id、秘密id才能获得访问和刷新令牌。
请帮助澄清以下疑问：- 1) JWT比OAuth 2.0轻吗，因为它不包含刷新令
浏览 1提问于2018-11-20得票数 0
我有一个使用表单身份验证的Asp.net应用程序。我正在构建一个asp.net核心API，它将接收包含在有效负载中的用户信息的JWT令牌。这个API需要调用asp.net应用程序来服务用户请求。为了使asp.net应用程序能够满足此请求，它需要表单身份验证cookie来将其识别为有效的登录用户。
换句话说，API需要在实际用户发出请求的请求转发刺激场景中生成和发送身份验证cookie。。
注意：创建API是为了将asp.net应用程序的特性公开为公共API，而不需要用户首先直接登录到asp.net应用程序UI。
我正在创建一个类库，该类库的目标是.net标准2.0，它可以在我的api中使用，负
浏览 0提问于2019-11-26得票数 0
回答已采纳
使用ASP.NET MVC Core3，我试图检测的是用户是否经过身份验证。
阅读建议使用User.Identity.IsAuthenticated而不是Request.IsAuthenticated
我没有看到错误消息/异常，但是User.Indentity.IsAuthenticated总是false
问题是这个。我正在尝试设置两次AddAuthentication。如果我注释掉除前2行之外的所有内容，那么User.Identity.IsAuthenticated在登录后返回true。
services.AddAuthentication(CookieAuthenticationDefa
浏览 0提问于2020-08-13得票数 0
回答已采纳
我们有一个带API后端(ASP.NET核心WebAPI)的SPA (Angular)：
SPA在app.mydomain.com/API上侦听app.mydomain.com和API
我们通过内置的Microsoft.AspNetCore.Authentication.JwtBearer使用JWT进行身份验证；我有一个创建令牌的控制器app.mydomain.com/API/auth/jwt/login。SPA将它们保存到本地存储中。所有工作都很完美。在安全审计之后，我们被告知将本地存储转换为cookies。
问题是，app.mydomain.com/API上的应用程序接口被SPA使用，但也被
浏览 2提问于2018-03-24得票数 28
1回答
我知道这个问题有点宽泛，但让我缩小范围。我用laravel构建了一个小型的社交网络，我很期待用丁戈来构建api，我的问题是我想知道开发人员使用我的api (开发者身份验证)，这让我很困惑，因为使用api的开发人员必须对我的站点的用户进行身份验证，才能发布或获取有关他们的信息……我想知道这个身份验证应该如何工作。
假设一个密码为'dev123‘的开发人员希望获得特定用户的帖子，该帖子的网址是mydomain.com/api/ user / 445 / post /4，而用户445有电子邮件user@gmail.com和密码’user 123‘。如何管理使用jwt处理开发人员身份验证和用户
浏览 2提问于2016-09-08得票数 1
我已经在我的Web应用程序中创建了基于JWT的身份验证。我想不出
基本令牌
承载令牌
有人能帮帮我吗？
浏览 1提问于2015-12-01得票数 144
回答已采纳
我已经尝试将windows身份验证和JWT与.NET Core2.1一起使用。
我有以下身份验证的启动设置：
services.AddAuthentication(options =>
{
options.DefaultAuthenticateScheme = IISDefaults.AuthenticationScheme;
options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
浏览 0提问于2018-09-03得票数 6
我有一个带有web的ASP.NET Core2.2MVC应用程序。我对MVC页面使用cookie auth，对API使用JWT Bearer。我遵循了描述的解决方案，该解决方案基于
当我想添加授权策略以确保通过身份验证的用户可以访问整个站点时，问题就来了。
services.AddMvc(config =>
{
var policy = new AuthorizationPolicyBuilder()
.RequireAuthenticatedUser()
浏览 1提问于2019-08-08得票数 0
回答已采纳
我试图对一个用户进行身份验证，我可以创建一个用户并获得承载者，但是之后我添加了这个代码来进行身份验证，它每隔几秒钟就会显示以下错误一次：
UnauthorizedError: invalid algorithm
at /mnt/c/Projects/myProject/node_modules/express-jwt/lib/index.js:105:22
at /mnt/c/Projects/myProject/node_modules/jsonwebtoken/verify.js:121:14
at getSecret (/mnt/c/Projects/myProj
浏览 3提问于2021-02-27得票数 0
1回答
我有一个公共的Spring应用程序，通过HTTPS提供REST。它目前只使用HTTP基本身份验证。
有人要求我实现JWT支持。我想这样做，但要保持简单性--避免使用OAuth之类的东西(这是自前spring-security-jwt 以来在当前春季必须有的)。
据我理解，在没有OAuth的情况下使用JWT (在HTTPS中)是安全的。因此，我可以从JWT标准中受益，而无需专用的授权服务器。
这是一种标准/通用的方法吗？
请您提供一下Spring环境中的例子好吗？
我的想法是使用像 & Security这样的库。
浏览 2提问于2021-03-19得票数 2
我对使用UserTokens表(它是ASP.NET标识模型的一部分)来存储刷新令牌很感兴趣。
更多的上下文:我正在开发一个带有JWT承载身份验证的非常琐碎的web。因此，与刷新令牌不同，我不需要在数据库中存储身份验证令牌。文章说，UserTokens表的目的是存储身份验证令牌，但是由于我不需要它们在数据库中，所以这个表只是在没有任何作业的情况下在周围徘徊。
因此，问题是：UserTokens表在高质量的代码、语义准确性和可维护性方面是否适合存储刷新令牌？
浏览 6提问于2022-07-26得票数 1
回答已采纳
1回答
对于JWT核心，有一个与ASP.NET协同工作的来提供身份验证。
我正在寻找Laravel中类似的解决方案。我希望在我的应用程序中有多个API，以便向外扩展。用户将能够在一个API上进行身份验证，然后在其他API上使用相同的令牌(JWT)。辅助API将从主API接收加密密钥。
我知道有tymondesign/jwt-auth和passport解决方案。它可以在多API场景中使用吗？任何经验都会很有帮助。
浏览 48提问于2019-12-03得票数 1
我有一个JWT应用程序配置为使用ASP.NET持有者令牌进行身份验证：
// Setup.cs
// ...
public void ConfigureServices(IServiceCollection services) {
services
.AddAuthentication()
.AddJwtBearer(
options =>
{
options.Authority = "https://known.authority.url";
浏览 1提问于2019-08-15得票数 0
对于web是rest，它应该是无状态的。如果我们使用JWT身份验证，那么我们需要用JWT跟踪用户，我们如何说带有JWT令牌的API是rest呢？
浏览 1提问于2022-10-15得票数 1
我当前的体系结构是基于LDAP + JSON令牌身份验证的，我通过URL传递的令牌是这样的：https://myHostApp?jwt={myToken}
沿着这条路走安全吗，还是我应该从另一条路经过这些代币？假设还启用了SSL。
浏览 6提问于2017-09-09得票数 1
回答已采纳
2回答
新的ASP.NET Core 3角项目模板带有身份验证的使用Identity Server和OIDC进行身份验证。到目前为止，我一直使用简单的JWT认证作为我的角度SPA。
现在我的问题是:如果您想使用角应用程序的登录页面，那么实现身份验证的正确方法是什么？
因此，我已经有一个实现的登录页面，在我的角度应用程序，我想使用。据我所知，带有Identity server的OIDC工作流总是使用服务器上生成的登录页面。在我的例子中，我应该继续使用简单的JWT-身份验证，还是可以使用身份服务器使用我的角度登录页面？
我很确定问题在于我对OIDC缺乏了解，但我已经读过一本书和几篇关于它的文章，但我仍然不
浏览 7提问于2019-10-10得票数 2
在AspNetCore文档和主题的启发下，我使用JWT + HttpOnly Cookies成功地在JWT API应用程序中设置了身份验证。
现在，我正在尝试集成刷新令牌功能。我已经找到了教程，但它是基于JWT的唯一身份验证的，因此我不得不在响应中添加一个令牌过期的头：
options.Events = new JwtBearerEvents
{
OnAuthenticationFailed = context =>
{
if (context.Exception.GetType() == typeof(SecurityTokenExpiredExcept
浏览 3提问于2019-09-25得票数 1
1回答
我正在开发一个带有ASP.NET核心5的平台，它使用身份作为成员系统。除了web应用程序之外，这个平台还公开了一个Web。我尝试使用JWT作为Web身份验证。但是当我添加JWT配置时，我就不能再登录到web应用程序了。
这是Startup.cs文件：
public class Startup
{
public Startup(IConfiguration configuration)
{
Configuration = configuration;
}
public IConfiguration Configuration { get; }
浏览 1提问于2022-06-17得票数 0
回答已采纳
1回答
我们正在用.Net 6重新构建Web。
在添加身份验证时，我们需要两种身份验证方案: JWT和自定义令牌方案。
自定义身份验证方案用于从标头中提取一个令牌(随机生成的字母数字字符串)，根据数据库中存储的值对其进行检查，并验证过期日期。这是支持以前API中的旧身份验证方法所必需的，因为下载的应用程序仍然以这种方式连接。
services
.AddAuthentication()
.AddJwtBearer()
.AddScheme<CustomAuthenticationOptions, CustomAuthentication>(
"
浏览 2提问于2022-09-19得票数 1
回答已采纳
我目前正在尝试创建一个客户端Blazor web SPA。该应用程序连接到一个外部API，通过该API，我目前可以成功地使用JWT令牌对用户进行身份验证，结果是外部API做出了响应。
现在，下一步是确保将JWT令牌附加到客户端应用程序发出的所有请求的头上(一些页面或请求除外)。
到目前为止，我已经完成了创建带有Get和Post方法的自定义Http服务的工作。这些方法附加本地可用的JWT令牌。
但是，有了其他客户端框架(如responses )，我就能够拦截普通的http请求，并在必要时添加标头，并且能够相应地处理响应，而不需要定制HttpService。
这有可能和Blazor一起吗？我花了好
浏览 8提问于2022-10-15得票数 2
2回答
我试图使用HTTP请求和服务帐户触发Google云功能。我遵循了以下步骤：
创建服务帐户
下载JSON密钥文件
创建一个需要身份验证的Google函数(这是一个只返回"Hello !“的测试函数！)
在云函数权限中，我使用角色云函数调用器添加了我的服务帐户
如果我用这个服务帐户(gcloud auth print- identity - token )生成一个标识令牌，并使用它触发我的云函数(头中有Authorization: Bearer $ID_TOKEN )，它就会像预期的那样工作。但现在我想在生产中做到这一点。因此，我所做的就是生成一个JWT，使用它获取
浏览 7提问于2022-04-21得票数 0
回答已采纳
2回答
我有一个Azure Functions应用程序，并且在Azure门户中我已经配置了Easy Auth -> Azure Active Directory。
要求是，API必须同时支持AAD和一些自定义的JWT身份验证，以便使用者可以使用AAD或JWT进行身份验证。
如何在Azure函数中支持多个身份验证机制？
浏览 0提问于2019-11-25得票数 0
在将我的网站从APICore2.2迁移到3.1.1之后，我的.NET端点突然开始尝试将我的/Account/Login?ReturnUrl=请求重定向到一个默认登录页面(我的任何路由中都没有这个页面)。 我的api使用JWT承载身份验证方案和JWT挑战方案，但仍然发生了重定向。 services.AddAuthentication(options =>
{
options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
options.DefaultScheme = JwtBeare
浏览 19提问于2020-03-18得票数 2
回答已采纳
1回答
我已经设置了一个单页网站，使用JWT身份验证用户登录。它使用angularjs和ui-router来导航页面。
我是否也需要CSRF保护，或者我是否可以只使用JWT令牌来保护仅限管理的区域？
浏览 1提问于2015-06-16得票数 1
我正在使用VisualStudio2015EnterpriseUpdate1和ASP.NET 5Rc1-Final构建一个端点，该端点可以同时处理和使用JWT令牌，详见。在这种方法中，我们有一个“全部完成”的项目--该项目使用OIDC来发出令牌，JWT承载身份验证来验证它们，然后使用授权属性保护对各种控制器的访问--所有这些都在同一个项目中。
现在，我们希望通过创建一个只发出和验证令牌的OIDC授权和身份验证端点来重构此解决方案。然后，我们需要“n”附加端点，这些端点依赖于OIDC端点作为验证令牌的中心权限。这将使我们能够在不断增长的服务骨干上建立更多的端点，而不必将授权和身份验证编码到每个端
浏览 1提问于2015-12-21得票数 1
回答已采纳
嗨，我在.Net Core2.2中设置了一个Web，用于使用JWT进行身份验证。
我用邮递员做测试，我可以发送
{
"Username" : "fred",
"Password" : "123"
}
以及回应
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VyaWQiOiIxIiwicm9sZSI6IkFkbWluaXN0cmF0b3IiLCJuYmYiOjE1NTM0NjUxMTgsImV4cCI6MTU1MzQ2NTcxOCwiaWF0IjoxNTUzNDY1MTE4f
浏览 0提问于2019-03-24得票数 0
我正在尝试为我的项目实现jwt身份验证。我使用django-rest-auth进行身份验证。。
将以下配置值添加到您的设置文件以启用JWT身份验证。
REST_USE_JWT = True
但它返回的令牌包含用户信息。不是acces和refresh令牌。
浏览 7提问于2021-01-22得票数 0
我有一个spring引导应用程序，它主要提供REST端点，使用JWT。我希望在secret1中使用JWT来对/I_ API /**API进行身份验证，而使用JWT对其他secret2进行身份验证。我不知道如何配置这个场景。需要两个SecurityConfig类来配置吗？
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
class SecurityConfig : WebSecurityConfigurerAdapter() {
override fun configure(http: Http
浏览 0提问于2019-06-06得票数 0
回答已采纳
我计划在firebase主机中运行身份验证服务器。因此它将为登录用户提供JWT服务器。
我选择的语言和框架是java和spring boot。
现在我必须探索两种可能性。
(i)在firebase主机上运行身份验证服务器？
(ii)运行我选择的技术堆栈？
任何帮助/指导都将不胜感激。
浏览 1提问于2020-06-21得票数 0
我的ASP.NET MVC核心应用程序使用OWIN中间件以及以下模块来执行针对Azure的OpenIdConnect身份验证：
using Microsoft.IdentityModel.Protocols.OpenIdConnect;
using Microsoft.IdentityModel.Clients.ActiveDirectory;
using Microsoft.Azure.ActiveDirectory.GraphClient;
using Microsoft.AspNetCore.Authentication.OpenIdConnect;
using Microsoft.Az
浏览 2提问于2016-12-08得票数 2
3回答
我读过一些关于"JWT vs Cookie"的文章，但它们只让我更加困惑.
我想要一些clarification，，当人们谈论“基于令牌的身份验证和cookie”时，cookies只是指会话cookies？我的理解是，cookie就像一个中型，它可以用于实现基于令牌的身份验证(在客户端上存储可以标识登录用户的内容)或基于会话的身份验证(在与服务器端上的会话信息匹配的客户端存储常量)。
为什么我们需要JSON网络令牌？我使用标准cookie来实现基于令牌的身份验证(不使用会话id，不使用服务器内存或文件存储)：Set-Cookie: user=innocent; pref
浏览 2提问于2016-06-02得票数 218
1回答
我想设计一个api，一个组织将使用它来连接我的服务器。对于客户机-服务器应用程序，一个简单的基于jwt的身份验证是通过验证用户凭据并为他们生成一个令牌来完成的。
我的问题是，认证另一个系统的过程应该是什么？该组织应该如何接收获得身份验证令牌所需的凭据？例如，我应该定义一些静态值并告诉该组织使用它们进行身份验证吗？什么是最佳做法？
浏览 0提问于2020-03-10得票数 0
回答已采纳
我使用的是用于的graphql包。但我不能理解如何在graphql查询或突变中使用JWT进行身份验证。
我读了，但我不能完成。
我需要有关.NET身份验证的GraphQL的帮助。
任何帮助都将不胜感激。
谢谢
浏览 67提问于2018-06-01得票数 5
我正在尝试实现JWT身份验证。/login和/register工作得很好，它们返回身份验证令牌，但当我尝试获取带有标头'Authorization‘= 'JWT token_received’的/secret时，它返回一个字符串‘Authorization’，并且我看不到来自JWTStrategy的日志记录。请告诉我哪里出错了。
var opts = {}
opts.jwtFromRequest = ExtractJwt.fromAuthHeaderAsBearerToken();
opts.secretOrKey = "very_secret"
passpo
浏览 2提问于2017-09-03得票数 1
目前使用的是一个JWT身份验证模式，其中令牌在模式中有" Bearer：“。是否可以删除"Bearer”前缀，这样我就不需要在客户端添加它来再次在后端解析它?是否有一种方法可以在不实现自定义方案的情况下做到这一点(因此，在仍然使用Bearer方案的同时)，并且不需要解析"Bearer：“文本的实际令牌？
现在，代码看起来是：
var token = req.headers.authorization;
var newToken = token.replace("Bearer ", "");
jwt.verify(newToken, jwt
浏览 8提问于2018-05-31得票数 5
回答已采纳
2回答
我很难获得多个身份验证方案来使用我的.NET核心API。
当将它们设置为要使用的缺省方案时，它们都能很好地工作，但是我不能让它们链接身份验证，所以如果一个身份验证失败，它会移动到链中的下一个上，尝试使用该方案进行身份验证。
我在用
JWT信标认证
API密钥认证
从下面的代码中可以看到，我已经用多个方案设置了一个AuthorizeFilter策略，但是很明显，我在这个过程中遗漏了一些东西，我希望您能够发现我所缺少的东西。
下面是我使用的完整启动代码。
亲切的问候
public class Startup
{
public Startup(ICon
浏览 8提问于2021-02-12得票数 0
1回答
使用角和弹簧引导实例刷新令牌
、、、、
我正在设计一个应用程序，它有一个棱角的前端和Spring (Java)后端。
我正在考虑(但未与)基于JWT的身份验证的前景：
用户使用用户名和密码登录并提交表单；此表单发布到，例如，/auth/sign-in
Spring安全过滤器检查用户名和密码是否有效，如果有效，则生成一个具有合理(例如15分钟)到期时间的JWT，并将JWT作为响应头返回
然后，redirect将重用此JWT，直到它到期为止，在这一点上，Security将返回一个特定的400级错误代码，这将提示角前端将用户重定向到登录页面并重新登录。
这是非常简单的实现，但是对于我的用户来说，这将是一个糟糕的UX (如果他们必须每15分
浏览 0提问于2021-02-17得票数 2
回答已采纳
我知道这个问题可能会被否决，但我在谷歌上搜索了三天，没有真正有用的结果。
我在Visual中创建了一个默认的ASP.NET Core1.0 RC1项目，其中包含了单独的用户帐户身份验证/授权。这一切都很简单，因为这个项目是使用Microsoft.AspNet.Authentication.Cookies搭建的，VS 2015完成了所有的繁重工作。
但是，我们希望公开来自同一个项目的API (使用相同的数据库、用户、声明等)，这些API将从移动设备甚至一些简单的SPA中使用。
我们希望使用MVC (而不是SPA)方式来完成主要项目，以利用视图/控制器脚手架的使用以及Visual所能提供的一切。
浏览 2提问于2016-04-14得票数 5
前言
我想通过Swift使用JWT身份验证来调用API。但是从服务器返回HTTP响应码401。
对不起，我的英语不是很好。
源代码
let url = URL(string: HOST + urlString)
var request = URLRequest(url: url!)
request.httpMethod = "GET"
request.addValue("application/json", forHTTPHeaderField: "Content-Type")
if let key = store.key {
requ
浏览 0提问于2020-06-30得票数 0
1回答
我正在寻找如何在带有angular2的asp.net-core 1.0中实现JWT承载的授权。我问你们要样品还是类似的东西？
浏览 0提问于2016-10-26得票数 0
3回答
我试图在使用Ocelot的ASP.Net API网关中获得JWT承载身份验证，以便与多个权威机构/发行者合作。一个发布者是Auth0，另一个是基于IdentityServer4的内部身份验证服务器；我们正在尝试从Auth0迁移，但是有仍然依赖于它的外部客户端，所以我们想要支持这两者，直到所有的东西都经过了充分的测试，让他们切换。
根据，应该可以通过设置TokenValidationParameters.ValidIssuers而不是JwtBearerOptions.Authority来使用多个权限。但是，我已经测试过这一点，无论是否使用Ocelot，如果授权没有设置为发出令牌的权限，则不会发生
浏览 1提问于2018-10-23得票数 16
回答已采纳
3回答
撇开不说，我想知道JWT在客户机/服务器通信中适合什么地方？
它是用来替换身份验证和会话cookie的吗？
它是为了解除服务器在数据库或内存中存储会话令牌的问题吗？
客户端是否需要确保从预期的服务器接收数据，如果这不是一个问题，我就不需要JWT了？
当连接为HTTPS/SSL时，服务器与服务器之间的通信是必要的还是良好的实践？
浏览 7提问于2015-07-28得票数 17
回答已采纳
我有一个与REST交互的角形web应用程序。请求通过JWT Bearer令牌进行身份验证。现在我想添加对Windows-身份验证的支持。
我目前的计划是在REST中添加一个后端点/token，它接受并返回一个JWT。然后在JavaScript中使用此JWT作为Bearer令牌来验证XHR到REST-API的身份。
乍一看，这应该会阻止CSRF，因为它需要两个POST请求来修改应用程序的状态。我发现的CSRF <form>-based示例只提交了一个POST请求，攻击者看不到响应。
我遗漏了什么吗？
这场景类似，只不过它使用的是cookie而不是Windows-身份验证。
浏览 0提问于2020-06-08得票数 0
回答已采纳
2回答
目前，我的Spring项目由很少的REST服务、资源服务、身份验证服务等组成。
每个服务的名称都是自我描述的，但是下面是角色，
资源服务:负责管理所有资源，如用户、交易、供应商等。
身份验证服务器:负责根据“密码”grant_type请求创建JWT令牌
该框架使用公钥为我进行JWT令牌验证。当前，如果请求的JWT令牌有效，则资源服务器将处理任何请求。但是，我不确定什么是最佳实践，以及如何验证请求者拥有所请求的资源。
例如，如果用户Jacob想检索Paul用有效的JWT创建的事务。我的应用程序需要验证请求者，Jacob对Paul的事务没有所有权。
提前感谢！
浏览 0提问于2018-03-21得票数 1
回答已采纳
因此，我试图让我的角度弹簧认证工作了大约3周，我完全被困住了。以下是我要做的事：
我有一个SSO角度应用程序，它使用‘@ Azure /msal-角’依赖于身份验证，并授权给我的Azure Active。在这一点上，那部分是完全正常的。
除了我的前端，我还有一个Spring引导后端应用程序作为一个Web。我要做的是，使用我的前端从Azure身份验证过程中获得的JWT令牌，并使用该令牌对Rest调用进行身份验证。
我不知道从这里开始正确的身份验证流程是什么。我看到了这三个不同的示例实现，它们都不同：
这些实现中没有一个适用于我的后端。所以问题是:构建这个身份验证流的正确方法是什么？是否有一
浏览 3提问于2020-03-30得票数 0
2回答
我正在学习ASP.NET核心中JWT令牌的用途，但我一件事也不明白。为什么每个博客都调用JWT身份验证？如果我们将令牌传递给经过身份验证(登录)的用户。我的意思是为什么JWT不是授权而是身份验证？我不明白我在这个话题中跳过了哪一点。
浏览 9提问于2022-12-03得票数 0
回答已采纳
1回答
我正在构建一个内部网web应用程序，由一个棱角前端和一个Node.JS后端组成。应用程序需要使用公司Active进行身份验证和授权。
我正在考虑如何以一种安全的方式最好地实现这一点。我计划使用与AD进行实际通信，以便在用户登录时进行身份验证，并检查安全组成员是否存在某些受限操作等。
但是，我不太确定授权我的后端端点的最佳方法是什么。AD模块不提供任何令牌/票证，即使我认为Kerberos用于实际的身份验证过程。在我开发的其他经过身份验证的应用程序中，我在用户登录时生成了一个jsonwebtoken，然后在每个后端路由中传递并验证了该令牌，这是否也是针对AD进行身份验证的一个好主意？
编辑:问题
浏览 4提问于2015-05-27得票数 12
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM活动推荐
腾讯云开发者
