Comment utiliser JWT dans MVC application for authentication and authorization?

pour que MVC comprenne quoi que ce soit à propos de votre JWT, vous devez lui dire :-) . Tout d'abord, installez le paquet Jwt de nuget:

Install-Package Microsoft.Owin.Security.Jwt

alors ouvrez votre Startup.fichier cs et ajouter une nouvelle fonction qui indiquera à MVC comment consommer JWT. Dans les bases de votre Démarrage ressemblera à quelque chose comme:

using System.Configuration;
using Microsoft.Owin;
using Microsoft.Owin.Security;
using Microsoft.Owin.Security.DataHandler.Encoder;
using Microsoft.Owin.Security.Jwt;
using Owin;

[assembly: OwinStartupAttribute(typeof(TOMS.Frontend.Startup))]
namespace TOMS.Frontend
{
    public partial class Startup
    {
        public void Configuration(IAppBuilder app)
        {
            ConfigureAuth(app);
            ConfigureOAuthTokenConsumption(app);
        }

        private void ConfigureOAuthTokenConsumption(IAppBuilder app)
        {
            var issuer = ConfigurationManager.AppSettings["as:Issuer"];
            var audienceId = ConfigurationManager.AppSettings["as:AudienceId"];
            var audienceSecret = TextEncodings.Base64Url.Decode(ConfigurationManager.AppSettings["as:AudienceSecret"]);

            // Api controllers with an [Authorize] attribute will be validated with JWT
            app.UseJwtBearerAuthentication(new JwtBearerAuthenticationOptions
            {
                AuthenticationMode = AuthenticationMode.Active,
                AllowedAudiences = new[] { audienceId },
                IssuerSecurityTokenProviders = new IIssuerSecurityTokenProvider[]
                {
                    new SymmetricKeyIssuerSecurityTokenProvider(issuer, audienceSecret) 
                }
            });
        }
    }
}

vous remarquerez que je place l'émetteur, audienceId et audienceSecret dans mon Web.fichier de configuration. (Ces valeurs doivent correspondre à celles de votre ressource Serveur.) Aussi, vous pourriez vouloir vous assurer d'avoir un Système à jour.IdentityModel.Jeton.Jwt en cours d'exécution:

Update-package System.IdentityModel.Tokens.Jwt

avec ceux définis, vous pouvez décorer votre action de controller avec l'attribut [Authorize] et jouer la balle.

Jouer à la balle qui veut dire le feu à votre demande à partir de votre javascript de votre protégé action de contrôleur:

//assuming you placed the token in a sessionStorage variable called tokenKey when it came back from your Authorization Server
    var token = sessionStorage.getItem(tokenKey);
    var headers = {};
    if (token) {
        headers.Authorization = 'Bearer ' + token;
    }

    $.ajax({
        type: 'GET',
        url: 'CONTROLLER/ACTION',
        headers: headers
    }).done(function (data) {
        self.result(data);
    }).fail(showError);

UPDATE Par ailleurs, si vous souhaitez ajouter les valeurs de votre site web.fichier de configuration afin de les récupérer comme Je l'ai fait ci-dessus; il suffit de les ajouter en vertu de la AppSettings:

<configuration>
 <appSettings>
    <add key="issuer" value="YOUR_ISSUER" />
    <add key="audienceId" value="YOUR_AUDIENCEID" />
    <add key="audienceSecret" value="YOUR_AUDIENCESECRET" />
 </appSettings>
</configuration>

...bien sûr, remplacer les "valeurs" par les vôtres

Je ne sais pas si vous avez résolu ce problème, mais j'avais un problème similaire et j'ai décidé de stocker le token en utilisant FormsAuthentication dont j'ai été capable de crypter le token, et sur chaque requête le cookie a été passé en arrière et puis je pourrais le décrypter pour obtenir le JWT et puis retirer les rôles/revendications de et puis utiliser ces rôles pour créer et identifier Principal qui me permettrait de décorer mes méthodes de contrôleur avec [Authorize(Role="blah,blah")].

Voici un exemple de code dessous.

une fois que vous avez récupéré le jeton web JSON de l'api après la connexion, vous pouvez utiliser quelque chose comme:

var returnedToken = (TokenResponse)result.ReturnedObject;
var ticket = new FormsAuthenticationTicket(1, model.Email, DateTime.Now, ConvertUnitToDateTime(returnedToken.expires_in), true, returnedToken.access_token);
string encryptedTicket = FormsAuthentication.Encrypt(ticket);
var cookie = new HttpCookie(FormsAuthentication.FormsCookieName, encryptedTicket);
cookie.HttpOnly = true;
Response.Cookies.Add(cookie)

j'y ai quelques-unes de mes propres classes et méthodes créées, mais cela vous donnera l'idée générale que vous stockez le JWT d'accès ainsi que la date d'expiration dans votre cookie FormsAuthentication.

puis le cookie est transmis avec chaque requête et dans votre Global.fichier asax vous pouvez avoir une méthode pour authentifier le demande:

protected void Application_AuthenticateRequest(Object sender, EventArgs e)
{
    HttpCookie authCookie = Request.Cookies[FormsAuthentication.FormsCookieName];
    if (authCookie != null)
    {
        //Extract the forms authentication cookie
        FormsAuthenticationTicket authTicket = FormsAuthentication.Decrypt(authCookie.Value);

        JwtSecurityToken jwTok = TokenHelper.GetJWTokenFromCookie(authCookie); 

        // Create the IIdentity instance
        IIdentity id = new FormsIdentity(authTicket);

        // Create the IPrinciple instance
        IPrincipal principal = new GenericPrincipal(id, TokenHelper.GetRolesFromToken(jwTok).ToArray());

        // Set the context user
        Context.User = principal;
    }
}

donc cette méthode vous décryptez le cookie pour obtenir le JWT token d'accès que vous pouvez ensuite décoder en utilisant le système.IdentityModel.Jeton.JWT bibliothèque de Microsoft et puis prendre ces rôles et ID et de générer le principal et l'identité pour l'utilisateur qui crée votre utilisateur avec les rôles.

alors ces rôles peuvent être validés par rapport à l'attribut [Authorize].