发送用户 ID 和 access_token

我正在使用 React 前端在 ASP.NET Core 2.1 应用程序中实现 Auth0。

一旦用户进行身份验证，我就会得到access_token and an id_token。我的目的很明确access_token是授予对我的 API 方法的访问权限。我也明白，id_token提供我可以在前端应用程序中使用的用户数据。

问题/担忧是关于发送用户数据，例如userId当我进行 API 调用时到我的后端。除了包括userId在我的身体里POST请求，是否有其他方法将其发送到我的 API 方法？

在使用 Auth0 之前，我使用了一些其他解决方案JWT token我从他们那里收到的总是包括在内userId, username等等。我认为这是一种更安全的方法，因为即使人们可以看到 a 中的内容JWT token，签名使我们能够确保数据没有被篡改。

即使我的 API 调用是通过以下方式保护的SSL，我觉得包括userId与通过JWT token.

我在这里遗漏了什么还是我们确实发送了userId通过 API 调用中的常规方式，即在 a 的主体中POST调用或在 a 的查询字符串中GET call?

好问题，伙计，我上周遇到了同样的问题，最后用同样的方法解决了这个问题JWTAccessToken.

问题在于添加UserId生成可在服务器中检索的访问令牌时，将经过身份验证的用户作为声明。

添加访问令牌的声明

首先将用户的 ID 添加到您的声明列表中。

List<Claim> claims = new List<Claim>();
claims.Add(new Claim("UserId", user.Id.ToString()));

然后生成访问令牌。

SecurityToken token = new JwtSecurityToken(
                        issuer: {YOUR_ISSUER},
                        audience: {YOUR_AUDIENCE},
                        claims: claims,
                        notBefore: DateTime.UtcNow,
                        expires: DateTime.UtcNow.AddMinutes(60),
                        signingCredentials: credentials
                     );

假设您已经知道如何在达到最终代币生成之前执行这些步骤（从您的能力中扣除）oAuth and JWT上面显示了您的问题。

从访问令牌检索声明

阅读一个UserId从他们的 access_token 中，让我们创建几个帮助器/扩展方法来帮助我们从RequestContext控制器的。

public static string GetUserId(this ControllerBase controller)
{
    string securityKey = "{YOUR_SECURITY_KEY}";
    SymmetricSecurityKey key = new SymmetricSecurityKey(new UTF8Encoding().GetBytes(securityKey));
    JwtSecurityTokenHandler token_handler = new JwtSecurityTokenHandler();

    var tokenValidationParams = new TokenValidationParameters
    {
        ValidateAudience = false,
        ValidateIssuer = false,
        ValidateIssuerSigningKey = true,
        IssuerSigningKey = key,
        ValidateLifetime = false
    };

    string bearer = controller.HttpContext.Request.Headers["Authorization"].ToString().Replace("Bearer", string.Empty).Trim(' ');

    List<Claim> claims = token_handler.ValidateToken(bearer, tokenValidationParams, out SecurityToken token).Claims.ToList();

    Claim userClaim = claims.FirstOrDefault(x => x.Type == "UserId");

    if(userClaim != null)
    {
        return userClaim.Value;
    }
    else
    {
        throw new Exception("Invalid AccessToken. UserId claim not found");
    }
}

如何使用

现在让我们用它来获取UserId在我们的任何控制器中：

[Authorize]
public class ExampleController : Controller
{
    public IActionResult Index()
    {
        string userId = this.GetUserId();

        // --> continuing code goes here.
    }
}