C# .NET中基于JWT和外部授权服务器的REST API安全配置指南

using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.IdentityModel.Tokens;

var builder = WebApplication.CreateBuilder(args);

// 添加认证服务
builder.Services.AddAuthentication(options =>
{
    // 设置默认的认证方案为JwtBearer
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    // 设置默认的挑战方案为JwtBearer
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
}).AddJwtBearer(options =>
{
    // 配置JWT Bearer选项
    // Audience (受众) 是验证令牌时检查的声明之一，通常是客户端ID或资源服务器的标识符。
    // 它确保令牌是为预期接收者颁发的。
    options.Audience = "<client_id>"; 

    // MetadataAddress (元数据地址) 指向外部授权服务器的OpenID Connect配置发现文档。
    // .NET认证中间件将从该地址自动获取公钥（JWKS URI）、颁发者（Issuer）等信息，
    // 用于验证JWT令牌的签名和有效性。
    options.MetadataAddress = "https://api.asgardeo.io/t/<app_name>/oauth2/token/.well-known/openid-configuration";

    // 如果需要更精细的控制，例如自定义令牌验证参数，可以在这里进一步配置TokenValidationParameters。
    // options.TokenValidationParameters = new TokenValidationParameters
    // {
    //     ValidateIssuer = true,
    //     ValidIssuer = "https://api.asgardeo.io/t/<app_name>/oauth2/token",
    //     ValidateAudience = true,
    //     ValidAudience = "<client_id>",
    //     ValidateLifetime = true,
    //     ClockSkew = TimeSpan.Zero // 允许的时间偏移量，建议设置为零或较小值
    // };
});

// 其他服务注册，例如添加控制器
builder.Services.AddControllers();
// Learn more about configuring Swagger/OpenAPI at https://aka.ms/aspnetcore/swashbuckle
builder.Services.AddEndpointsApiExplorer();
builder.Services.AddSwaggerGen();

var app = builder.Build();

// Configure the HTTP request pipeline.
if (app.Environment.IsDevelopment())
{
    app.UseSwagger();
    app.UseSwaggerUI();
}

app.UseHttpsRedirection();

// ... (之前的代码)

app.UseHttpsRedirection();

// 启用认证中间件，它会尝试解析并验证传入请求中的JWT令牌。
app.UseAuthentication();
// 启用授权中间件，它会根据已认证用户的身份和策略来决定访问权限。
app.UseAuthorization();

// 映射控制器路由，确保在认证和授权之后执行。
app.MapControllers();

app.Run();

using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;

namespace YourAppName.Controllers
{
    [ApiController]
    [Route("[controller]")]
    public class WeatherForecastController : ControllerBase
    {
        private static readonly string[] Summaries = new[]
        {
            "Freezing", "Bracing", "Chilly", "Cool", "Mild", "Warm", "Balmy", "Hot", "Sweltering", "Scorching"
        };

        private readonly ILogger<WeatherForecastController> _logger;

        public WeatherForecastController(ILogger<WeatherForecastController> logger)
        {
            _logger = logger;
        }

        [HttpGet(Name = "GetWeatherForecast")]
        public IEnumerable<WeatherForecast> Get()
        {
            return Enumerable.Range(1, 5).Select(index => new WeatherForecast
            {
                Date = DateTime.Now.AddDays(index),
                TemperatureC = Random.Shared.Next(-20, 55),
                Summary = Summaries[Random.Shared.Next(Summaries.Length)]
            })
            .ToArray();
        }

        // 添加一个受保护的私有端点
        [HttpGet]
        [Route("Private")] // 定义该私有端点的路由
        [Authorize] // 应用Authorize属性，表示此端点需要认证
        public IActionResult Private()
        {
            // 只有经过认证的用户才能访问此端点
            return Ok(new
            {
                Message = "Hello from a private endpoint. You are authorized!"
            });
        }
    }
}