如何在 asp.net CORE 中的 JwtSecurityTokenHandler 中添加策略和角色

Question

我有一个自定义登录，它在应该包含用户角色的令牌和他的自定义策略中返回一个令牌。 我不知道如何在令牌主题中添加自定义策略。

我尝试对其进行硬编码，但是当我在 postman 中尝试时，我收到此错误： The AuthorizationPolicy named: 'ViewClients' was not found 。

我该如何解决这个谢谢。

    [HttpPost, Route("login")]
    public async Task<IActionResult> Login([FromBody] LoginModel user)
    {
        string passowrdHashed = HashPassword(user.Password);

        var userFromDb = await _userManager.FindByNameAsync(user.UserName);
        if (userFromDb == null)
        {
            return Unauthorized();
        }
        else if (user != null && userFromDb.UserName == user.UserName
            && userFromDb.PasswordHash == passowrdHashed)
        {
            if (userFromDb.PasswordHash == HashPassword(_employeeService.DEFAULT_PASSWORD))
            {
                return Ok("Please change password!");
            }
            else
            {
                List<Entities.Type> roles = await _roleService.GetAllUserRoles();

                var userRole = await _employeeRoleService.GetUserRoleByUserId((ulong)userFromDb.Id);

                Entities.Type role = roles.Where(x => x.Id == userRole.RoleId).FirstOrDefault();

                var tokenDescriptor = new SecurityTokenDescriptor
                {
                    Subject = new ClaimsIdentity(new Claim[] {
                    new Claim("Policy", "ViewClients"),//THIS LINE IS PROBLEMATIC!!!
                    new Claim(ClaimTypes.Role, role.NormalizedName),
                    // "comercial" )// userRole.NormalizedName)
                }),
                    Issuer = "jcortenbach",
                    Expires = DateTime.UtcNow.AddHours(1),
                    SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(Encoding.UTF8.GetBytes("MySupperSecretKey")), SecurityAlgorithms.HmacSha256Signature)
                };
                var tokenHandler = new JwtSecurityTokenHandler();
                var securityToken = tokenHandler.CreateToken(tokenDescriptor);
                var token = tokenHandler.WriteToken(securityToken);
                return Ok(new { token });
            }
        }
        else
        {
            return Unauthorized();
        }
    }

我希望这个 API 在用户拥有策略ViewClients时工作。

    // GET api/clients
    [HttpGet]
    [Authorize(Policy = "ViewClients")]
    public async Task<IEnumerable<ClientViewModel>> GetAsync(bool isDeleted)
    {
        //Returns List of clients
    }

Answer 1

我认为您混淆了两个不同的概念。 Authorize 属性不会直接检查令牌上的声明。 您必须为此使用策略。

[Authorize(Policy = <policyname>)]属性将搜索已注册的策略，然后可以将其配置为检查您为任何给定值指定的声明。

在您的情况下，您需要将管道配置为使用授权并注册策略，例如如下：

services.AddAuthorization(options =>
{
    options.AddPolicy(
        "ViewClients",
        policy => policy.RequireClaim(ClaimTypes.Role, "ViewClients")
    );
});

上面创建了一个名为ViewClients的策略，用于检查包含值“ViewClients”的角色声明。 所以相应的主张是：

new Claim(ClaimTypes.Role, "ViewClients")

您可以重新配置它以满足您的任何需求。

一句话：
我不确定您的服务是否打算用于生产，但立即引起我注意的一行是：

userFromDb.PasswordHash == HashPassword(_employeeService.DEFAULT_PASSWORD)

您应该重新考虑为每个新用户提供相同的默认密码。 一般来说，配置一个过期的随机默认密码并在数据库中设置一个 boolean 标志来指示用户在下次登录时需要更改他的密码会更安全。