目录：
- 过滤器
- JWT概念
一. Web Api中的过滤器
（1）所处命名空间不同
WebApi过滤器的命名空间是"System.web.Http",而MVC过滤器的命名空间是"System.Web.Mvc"
（2）WebApi没有结果过滤器
WP过滤器的执行顺序为：OnAuthorization--OnActionExecuting--Action方法执行--OnActionExecuted
WebApi过滤器的基本用法：
// 授权过滤器
public class MyAuthorize : AuthorizeAttribute
{
public override void OnAuthorization(HttpActionContext actionContext)
{
//1.如果保留如下代码，则会运行.net framework定义好的身份验证，如果希望自定义身份验证，则删除如下代码
// base.OnAuthorization(actionContext);
//2.获取控制器作用的Controller和action的名字
string controllerName = actionContext.ActionDescriptor.ControllerDescriptor.ControllerName.ToLower();
string actionName = actionContext.ActionDescriptor.ActionName.ToLower();
HttpContext.Current.Response.Write("身份验证过滤器作用于" + controllerName + "控制器下的" + actionName + "方法");
}
}
//行为过滤器
public class MyAction: ActionFilterAttribute
{
/// <summary>
/// 在Action方法运行之前调用
/// </summary>
public override void OnActionExecuting(HttpActionContext actionContext)
{
//2.获取控制器作用的Controller和action的名字
string controllerName = actionContext.ActionDescriptor.ControllerDescriptor.ControllerName.ToLower();
string actionName = actionContext.ActionDescriptor.ActionName.ToLower();
HttpContext.Current.Response.Write("行为过滤器OnActionExecuting作用于" + controllerName + "控制器下的" + actionName + "方法运行之前");
}
/// <summary>
/// 在Action方法运行之后调用
/// </summary>
public override void OnActionExecuted(HttpActionExecutedContext actionExecutedContext)
{
base.OnActionExecuted(actionExecutedContext);
//2.获取控制器作用的Controller和action的名字
string controllerName = actionExecutedContext.ActionContext.ControllerContext.ControllerDescriptor.ControllerName.ToLower();
string actionName = actionExecutedContext.ActionContext.ActionDescriptor.ActionName.ToLower();
HttpContext.Current.Response.Write("行为过滤器OnActionExecuted作用于" + controllerName + "控制器下的" + actionName + "方法运行之后");
}
}
// 异常过滤器
public class MyException : FilterAttribute,IExceptionFilter
{
public async Task ExecuteExceptionFilterAsync(HttpActionExecutedContext actionExecutedContext, CancellationToken cancellationToken)
{
//1.获取异常信息
string errorMsg = actionExecutedContext.Exception.ToString();
//2.对获取的异常信息进行处理
using (StreamWriter writer = File.AppendText("d:/err.txt"))
{
await writer.WriteLineAsync(errorMsg);
}
}
}
二.JWT
- Json web token 简称：JWT，一种基于JSON的开放标准，便于从资源服务器获取资源，也可被加密
- 优点：
-JWT是无状态的，不需要客户端保存客户会话信息，减轻服务器读取压力，同时易于扩展、易于分布式部署
-跨语言
-便于传输，构成简单，字节占用空间少
-自身构成有payload部分，可以存储一下业务逻辑相关的非敏感信息
- 三段信息组成，"."连接:
(1)eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.
(2)eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiYWRtaW4iOnRydWV9.
(3)TJVA95OrM7E2cBab30RMHrHDcEfxjoYZgeFONFh7HgQ
- 三部分组成
(1)Header 头部
-两部分：类型（如 "typ":"JWT"）和加密算法（如"alg":"HS256"）也可以添加其它自定义的一些参数，然后对这个对象机型base64编码，生成一段字符串。
{
'typ': 'JWT',
'alg': 'HS256'
} //Base64是一种编码，也就是说，它是可以被翻译回原来的样子来的。它并不是一种加密过程。
(2)Pyload 负载
用来存放一些业务但不敏感的信息
默认声明：iss: jwt签发者、sub: jwt所面向的用户、aud: 接收jwt的一方、exp: jwt的过期时间，这个过期时间必须要大于签发时间、nbf: 定义在什么时间之前，该jwt都是不可用的.、 iat: jwt的签发时间、 jti: jwt的唯一身份标识，主要用来作为一次性token,从而回避重放攻击。
(3)Singnature 签名
保存在服务器端三部分组成：header (base64后的)、payload (base64后的)、 secret
在Asp.net WebAPI 中使用JWT
(1)安装JWT包、创建JWT帮助类
public class JwtToken
{
//HMACSHA256加密
static IJwtAlgorithm algorithm = new HMACSHA256Algorithm();
//序列化和反序列
static IJsonSerializer serializer = new JsonNetSerializer();
//Base64编解码
static IBase64UrlEncoder urlEncoder = new JwtBase64UrlEncoder();
//UTC时间获取
static IDateTimeProvider provider = new UtcDateTimeProvider(); const string secret = "MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQK";//服务端
[HttpGet]
public string JiaM()
{
//设置过期时间(可以不设置，下面表示签名后 20分钟过期)
double exp = (DateTime.UtcNow.AddMinutes(20) - new DateTime(1970, 1, 1)).TotalSeconds;
var payload = new Dictionary<string, object>
{
{ "UserId", 123 },
{ "UserName", "admin" },
{"exp",exp } //该参数也可以不写
};
//注意这个是额外的参数，默认参数是 typ 和alg
var headers = new Dictionary<string, object>
{
{ "typ1", "1234" },
{ "alg2", "admin" }
};
IJwtEncoder encoder = new JwtEncoder(algorithm, serializer, urlEncoder，algorithm);
var token = encoder.Encode(headers, payload, secret);
return token;
}
[HttpGet]
public string JieM(string token)
{
try
{
//用于验证JWT的类
IJwtValidator validator = new JwtValidator(serializer, provider);
//用于解析JWT的类
IJwtDecoder decoder = new JwtDecoder(serializer, validator, urlEncoder，);
var json = decoder.Decode(token, secret, true);
return json;
}
catch (TokenExpiredException e)
{
//过期了自动进入这里
return "Token has expired";
}
catch (SignatureVerificationException e)
{
//校验未通过自动进入这里
return "Token has invalid signature";
}
catch (Exception e)
{
//其它错误，自动进入到这里
return "other error";
}
(2)模拟登陆接口
/// <summary>
/// 模拟登陆
/// </summary>
[HttpGet]
public string Login1(string userAccount, string pwd)
{
try
{
//这里模拟数据操作，只要是admin和123456就验证通过
if (userAccount == "admin" && pwd == "123456")
{
//1. 进行业务处理（这里模拟获取userId）
string userId = "0806";
//过期时间(可以不设置，下面表示签名后 20分钟过期)
double exp = (DateTime.UtcNow.AddMinutes(20) - new DateTime(1970, 1, 1)).TotalSeconds;
//进行组装
var payload = new Dictionary<string, object>
{
{"userId", userId },
{"userAccount", userAccount },
{"exp",exp }
};
//2. 进行JWT签名
var token = JWTHelp.JWTJiaM(payload);
var result = new { result = "ok", token = token };
return JsonConvert.SerializeObject(result);
}
else
{
var result = new { result = "error", token = "" };
return JsonConvert.SerializeObject(result);
}
}
catch (Exception)
{
var result = new { result = "error", token = "" };
return JsonConvert.SerializeObject(result);
}
}
(3)客户端调用登陆接口
//1.登录
$('#j_jwtLogin').on('click', function () {
$.Ajax({
url: "/api/Seventh/Login1",
type: “get”,
data: { userAccount: "admin", pwd: "123456" },
success: function (data) {
var jsonData = JSON.parse(data);
if (jsonData.result == "ok") {
console.log(jsonData.token);
//存放到本地缓存中
window.localStorage.setItem("token", jsonData.token);
alert("登录成功,ticket=" + jsonData.token);
} else {
alert("登录失败");
}
});
});
(4)服务器端过滤器
两种获取header中信息的方式:校验通过的话，则使用 actionContext.RequestContext.RouteData.Values.Add("auth", result); 进行解密值的存储，方便后续action的直接获取。
/// <summary>
/// 验证JWT算法的过滤器
/// </summary>
public class JWTCheck : AuthorizeAttribute
{
public override void OnAuthorization(HttpActionContext actionContext)
{
//获取表头Header中值的几种方式
//方式一：
//{
// var authHeader2 = from t in actionContext.Request.Headers
// where t.Key == "auth"
// select t.Value.FirstOrDefault();
// var token2 = authHeader2.FirstOrDefault();
//}
//方式二：
IEnumerable<string> auths;
if (!actionContext.Request.Headers.TryGetValues("auth", out auths))
{
//HttpContext.Current.Response.Write("报文头中的auth为空");
//返回状态码验证未通过，并返回原因(前端进行401状态码的捕获)，注意：这句话并不能阶段该过滤器，还会继续往下走，要借助if-else
actionContext.Response = actionContext.Request.
CreateErrorResponse(HttpStatusCode.Unauthorized,
new HttpError("报文头中的auth为空"));
}
else
{
var token = auths.FirstOrDefault();
if (token != null)
{
if (!string.IsNullOrEmpty(token))
{
var result = JWTHelp.JWTJieM(token);
if (result == "expired")
{
//返回状态码验证未通过，并返回原因(前端进行401状态码的捕获)
actionContext.Response = actionContext.Request.CreateErrorResponse(HttpStatusCode.Unauthorized, new HttpError("expired"));
}
else if (result == "invalid")
{
//返回状态码验证未通过，并返回原因(前端进行401状态码的捕获)
actionContext.Response = actionContext.Request.CreateErrorResponse(HttpStatusCode.Unauthorized, new HttpError("invalid"));
}
else if (result == "error")
{
//返回状态码验证未通过，并返回原因(前端进行401状态码的捕获)
actionContext.Response = actionContext.Request.CreateErrorResponse(HttpStatusCode.Unauthorized, new HttpError("error"));
}
else
{
//表示校验通过,用于向控制器中传值
actionContext.RequestContext.RouteData.Values.Add("auth", result);
}
}
}
else
{
//返回状态码验证未通过，并返回原因(前端进行401状态码的捕获)
actionContext.Response = actionContext.Request.CreateErrorResponse(HttpStatusCode.Unauthorized, new HttpError("token 空"));
}
}
}
}
(5)服务器端获取信息的方法
/// <summary>
/// 加密后的获取信息
/// </summary>
[JWTCheck]
[HttpGet]
public string GetInfor()
{
var userData = JsonConvert.DeserializeObject<userData>(RequestContext.RouteData.Values["auth"].ToString()); ;
if (userData == null)
{
var result = new { Message = "error", data = "" };
return JsonConvert.SerializeObject(result);
}
else
{
var data = new { userId = userData.userId, userAccount = userData.userAccount };
var result = new { Message = "ok", data =data };
return JsonConvert.SerializeObject(result);
}
}
(6)客户端调用获取信息方法
//2.获取信息
$('#jwtGetInfor').on('click', function () {
//从本地缓存中读取token值
var token = window.localStorage.getItem("token");
$.ajax({
url: "/api/Seventh/GetInfor",
type: "Get",
data: {},
datatype: "json",
//设置header的方式1
headers: { "auth": token},
//设置header的方式2
//beforeSend: function (xhr) {
// xhr.setRequestHeader("auth", token)
//},
success: function (data) {
console.log(data);
var jsonData = JSON.parse(data);
if (jsonData.Message == "ok") {
var myData = jsonData.data;
console.log("获取成功");
console.log(myData.userId);
console.log(myData.userAccount);
} else {
console.log("获取失败");
}
},
//当安全校验未通过的时候进入这里
error: function (xhr) {
if (xhr.status == 401) {
console.log(xhr.responseText);
var jsonData = JSON.parse(xhr.responseText); //通过xhr.responseText获取详细的值进行判断。
console.log("授权失败,原因为：" + jsonData.Message);
}
}
});
});