C#技术栈入门到精通系列19——鉴权授权IdentityServer JWT

阅读目录

1、介绍
2、对比session登录
3、应用案例
　　3.1、启用无状态登录系统
　　3.2、使用token访问受保护的action
　　3.3、给用户添加角色和权限
　　3.4、完成注册过程
　　3.5、完成登录过程
　　3.6、自定义用户模型，添加初始化数据
4、参考

返回系列文章目录 

案例代码下载

1、介绍

 　　IdentityServer JWT是一套鉴权授权开源组件，授权是允许你做什么？即授予权力，鉴权是在程序执行过程中确认你是谁？被允许做什么？IdentityServer JWT遵循JWT（JSON Web Token）这个开放标准。JWT它定义了一种紧凑独立的方式，可以将各方之间的信息作为JSON对象进行安全传输。该信息可以验证和信任，因为是经过数字签名的。JWT由头部Header、有效载荷Payload和签名Signature三部分构成。各个部分见用“.”隔开，可以在网站 https://jwt.io/ 进行详细的跟踪测试。

　　头部Header由typ和alg两部分构成，typ表示token的类型，这里固定为JWT，alg表示使用hash算法，例如HMAC SHA256或者RSA。例如编码前Header“{"alg":"HS256","typ":"JWT"}”，编码后“eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9”。

　　有效载荷Payload作用①存储需要传递的信息，如用户ID、用户名等，②存储元素据，如过期时间、发布人等，③与Header不同，Payload可以加密。例如编码前“{"userId":"BigBox777"}”，base64编码后“eyJ1c2VySWQiOiJCaWdCb3g3NzcifQ==”，base64Url编码后“eyJ1c2VySWQiOiJCaWdCb3g3NzcifQ”。

　　签名Signature作用对Header和Payload部分进行签名，保证Token在传输的过程中没有被篡改或者损坏，Signature算法：Signature=HMACSHA256（base64UrlEncode（header）+“.”+base64UrlEncode（payload），secret）。

最后我们来看一看JWT标准所定义常用有效载荷字段：

• iss：该 jwt 的签发者
• sub：该 jwt 所面向的用户
• aud：接收该 jwt 的一方
• nbf：定义在什么时间之前该jwt是不可用的
• iat(issued at签发)：jwt的签发时间，是一个 unix 时间戳
• exp(expires过期)：jwt的过期时长，一个时间长度单位ms
• jti：jwt的唯一标识，主要用作一次性token，避免重放攻击

2、对比session登录

　　除了JWT之外还有一种鉴权授权方式session，这是一种有状态的登录方式，而JWT是无状态登录，常用来做单点登录系统（开源免费有OpenAM、OpenIDM、OpenDJ，企业付费有ForgeRock、Microsoft AM），下面看一下两种方式原理对比。

Session对比JWT优势
1：相比JWT，服务器可以主动清除session，可以管理授权有效期。
2：session保存在服务器端，相对比较安全，JWT保存在客户端不安全，可以使用HTTPS传输解决。
3：结合Cookie使用，较为灵活，兼容性好。

Session对比JWT劣势
1：Cookie+session在跨域场景表现得并不太好，Cookie跨域不好。
2：如果是分布式部署，需要做多机共享session机制，额外资源投入。
3：基于Cookie的机制很容易被CSRF（跨站请求伪造攻击）。
4：查询session信息可能有数据库查询操作，额外的资源投入。

相关概念
1：session主要存放在服务器，相对安全。
2：Cookie主要存放在客户端，不是很安全。
3：sessionStorage仅在当前会话下有效，关闭页面或浏览器后被清除。
4：localStorage除非被清除，否则被永久保存。

3、应用案例

　　此案例使用一个NET5创建的ASP.NET Core MVC项目上做演示，先创建一个项目。
3.1、启用无状态登录系统

第一步：在项目文件夹 Controllers 下创建一个控制器 AuthenticateController 。

第二步：给这个控制器加上登录的Action Login ，分别加上Post请求特性 [HttpPost] 和允许匿名访问特性 [AllowAnonymous] //允许匿名访问 ，

第三步：在项目文件夹 Models 下创建登录数据DTO LoginDto.cs 。

using System;
using System.Collections.Generic;
using System.Linq;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Models
{
    public class LoginDto
    {
        public string Username { get; set; }
        public string Password { get; set; }
    }
}

第四步：给项目安装JWT框架 Microsoft.AspNetCore.Authentication.JwtBearer v5.0.15 ，这里需要主要NET6使用的是v6.0.0以上的框架。

第五步：在 Login Action中完成创建jwt，并响应客户端200 OK，并返回jwt（注意密码有最小长度要求，太短会报IDX10653异常），完整的 AuthenticateController.cs 代码如下。

using Demo19_IdentityServerJWT.Models;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using Microsoft.IdentityModel.Tokens;
using System;
using System.Collections.Generic;
using System.IdentityModel.Tokens.Jwt;
using System.Linq;
using System.Security.Claims;
using System.Text;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Controllers
{
    public class AuthenticateController : Controller
    {
        private readonly string _secretKey = "jwtTestsMiMa777888999";//jwt加密用的密码
        [AllowAnonymous] //允许匿名访问
        [HttpPost]
        public IActionResult Login([FromBody]LoginDto loginDto)
        {
            //1、验证用户名和密码
            //2、创建jwt（header、payload、signiture）
            //2.1、创建header
            var signingAlgorithm = SecurityAlgorithms.HmacSha256;//存储使用算法
            //2.2、创建payload
            var claims = new Claim[]
            {
                new Claim(JwtRegisteredClaimNames.Sub,"BigBox777") //自定义数据部分,这里使用JWT标准定义的Sub表示该 jwt 所面向的用户
            };
            //2.3、创建signiture
            var secretByte = Encoding.UTF8.GetBytes(_secretKey);
            var signingKey = new SymmetricSecurityKey(secretByte);//对密码进行加密
            var signingCredentials = new SigningCredentials(signingKey, signingAlgorithm); //验证加密后的私钥
            //2.4、创建jwt
            var token = new JwtSecurityToken(
                issuer: "donesoft.cn",//谁发布的
                audience: "donesoft.cn",//发布给谁用
                claims,//payload数据
                notBefore:DateTime.UtcNow,//发布时间
                expires:DateTime.UtcNow.AddMinutes(10),//有效期10分钟
                signingCredentials //数字签名
                );
            var tokenString = new JwtSecurityTokenHandler().WriteToken(token);//转成字符串token
            //3、返回200 OK，回传jwt
            return Ok(tokenString);
        }
    }
}

第六步：使用测试工具Postman来发起请求，测试一下是否正常运行。

 第七步：复制返货的jwt到网站 https://jwt.io/ ，并输入密码进行验证。

3.2、使用token访问受保护的action

　　要使用token访问受保护的action，就需要先做系统级的jwt配置，看下面操作。

第一步：由于很多地方需要共用jwt密码，发布者这些信息，我们先把这部分放到配置文件 appsettings.json 里。

{
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft": "Warning",
      "Microsoft.Hosting.Lifetime": "Information"
    }
  },
  "AllowedHosts": "*",
  "Authentication": {
    "secretKey": "jwtTestsMiMa777888999", //jwt密码
    "issuer": "donesoft.cn",  //发布者
    "audience": "donesoft.cn"  //发布给谁用
  }
}

第二步：更新项目文件夹 Controllers 下创建一个控制器 AuthenticateController.cs文件，加入对配置文件的依赖注入。

using Demo19_IdentityServerJWT.Models;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Configuration;
using Microsoft.IdentityModel.Tokens;
using System;
using System.Collections.Generic;
using System.IdentityModel.Tokens.Jwt;
using System.Linq;
using System.Security.Claims;
using System.Text;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Controllers
{
    public class AuthenticateController : Controller
    {
        private readonly IConfiguration _configuration;//配置文件
        public AuthenticateController(IConfiguration configuration)
        {
            _configuration = configuration;
        }
        
        [AllowAnonymous] //允许匿名访问
        [HttpPost]
        public IActionResult Login([FromBody]LoginDto loginDto)
        {
            //1、验证用户名和密码
            //2、创建jwt（header、payload、signiture）
            //2.1、创建header
            var signingAlgorithm = SecurityAlgorithms.HmacSha256;//存储使用算法
            //2.2、创建payload
            var claims = new Claim[]
            {
                new Claim(JwtRegisteredClaimNames.Sub,"BigBox777") //自定义数据部分,这里使用JWT标准定义的Sub表示该 jwt 所面向的用户
            };
            //2.3、创建signiture
            var secretByte = Encoding.UTF8.GetBytes(_configuration["Authentication:secretKey"]);
            var signingKey = new SymmetricSecurityKey(secretByte);//对密码进行加密
            var signingCredentials = new SigningCredentials(signingKey, signingAlgorithm); //验证加密后的私钥
            //2.4、创建jwt
            var token = new JwtSecurityToken(
                issuer: _configuration["Authentication:issuer"],//谁发布的
                audience: _configuration["Authentication:audience"],//发布给谁用
                claims,//payload数据
                notBefore:DateTime.UtcNow,//发布时间
                expires:DateTime.UtcNow.AddMinutes(10),//有效期10分钟
                signingCredentials //数字签名
                );
            var tokenString = new JwtSecurityTokenHandler().WriteToken(token);//转成字符串token
            //3、返回200 OK，回传jwt
            return Ok(tokenString);
        }
    }
}

第三步：在项目Startup.cs文件下的 public void ConfigureServices(IServiceCollection services) 方法内注册jwt服务。

public void ConfigureServices(IServiceCollection services)
        {
            services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme).//使用jwtBearer注册身份认真服务
                AddJwtBearer(options =>//配置jwtBearer
                {
                    var secretByte = Encoding.UTF8.GetBytes(Configuration["Authentication:secretKey"]);
                    options.TokenValidationParameters = new TokenValidationParameters()
                    {
                        //只有配置的发布者donesoft.cn才会被接受
                        ValidateIssuer = true,
                        ValidIssuer = Configuration["Authentication:issuer"],
                        //只有配置的使用者donesoft.cn才会被接受
                        ValidateAudience = true,
                        ValidAudience = Configuration["Authentication:audience"],
                        //验证token是否过期
                        ValidateLifetime=true,
                        //对密码进行加密
                        IssuerSigningKey=new SymmetricSecurityKey(secretByte)
                    };
                });
            services.AddControllersWithViews(); 
        }

第四步：在项目Startup.cs文件下的 public void Configure(IApplicationBuilder app, IWebHostEnvironment env) 方法内配置授权鉴权中间件，需要特别注意中间件顺序。

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
        {
            if (env.IsDevelopment())
            {
                app.UseDeveloperExceptionPage();
            }
            else
            {
                app.UseExceptionHandler("/Home/Error");
            }
            app.UseStaticFiles();
            //使用路由,访问去哪里?
            app.UseRouting();
            //验证中间件,你有什么权限?
            app.UseAuthentication();
            //授权中间件,你可以干什么?
            app.UseAuthorization();  

            app.UseEndpoints(endpoints =>
            {
                endpoints.MapControllerRoute(
                    name: "default",
                    pattern: "{controller=Home}/{action=Index}/{id?}");
            });
        }

第五步：文件夹 Controllers 下创建一个控制器 BookController.cs 文件，再创建一个POST的Action CreateNewBook 用来测试业务逻辑。

using Demo19_IdentityServerJWT.Models;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Controllers
{
    public class BookController : Controller
    {
        [HttpPost]
        [Authorize]
        public IActionResult CreateNewBook([FromBody]BookDto bookDto)
        {
            return Ok($"{bookDto.BookName}:创建成功!");
        }
    }
}

using System;
using System.Collections.Generic;
using System.Linq;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Models
{
    public class BookDto
    {
        public string BookName { get; set; }
        public decimal UnitPrice { get; set; }//单价
    }
}

第六步：使用Postman测试一下在没有登录的时候，访问返回401 Unauthorized（没有授权）。

第七步：我们在Postman请求的头Header里加入登录返回的token，注意添加的字段为 Authorization ，对应值为 bearer  +登录返回的token，这里要严格注意大小写格式和bearer和token之间有空格。

第八步：以上就完成了使用token访问授权的action，下一节我们来介绍一下对角色和权限的管理。

3.3、给用户添加角色和权限

　　在.NET中基于Claims的身份认证体系（JWT只是Claim的其中一种认证方式），需要用一个类 Claim ①用来表示资源的所有权，例如：说明用户的角色，表示用户所具有的权限。②最小不可分割单位，可以自由组合使用的灵活度相当高。

第一步：更新项目文件夹 Controllers 下控制器 AuthenticateController.cs 文件，给jwt中加入角色信息，关键代码 new Claim(ClaimTypes.Role,"Admin") 。

using Demo19_IdentityServerJWT.Models;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Configuration;
using Microsoft.IdentityModel.Tokens;
using System;
using System.Collections.Generic;
using System.IdentityModel.Tokens.Jwt;
using System.Linq;
using System.Security.Claims;
using System.Text;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Controllers
{
    public class AuthenticateController : Controller
    {
        private readonly IConfiguration _configuration;//配置文件
        public AuthenticateController(IConfiguration configuration)
        {
            _configuration = configuration;
        }
        
        [AllowAnonymous] //允许匿名访问
        [HttpPost]
        public IActionResult Login([FromBody]LoginDto loginDto)
        {
            //1、验证用户名和密码
            //2、创建jwt（header、payload、signiture）
            //2.1、创建header
            var signingAlgorithm = SecurityAlgorithms.HmacSha256;//存储使用算法
            //2.2、创建payload
            var claims = new Claim[]
            {
                new Claim(JwtRegisteredClaimNames.Sub,"BigBox777"), //自定义数据部分,这里使用JWT标准定义的Sub表示该 jwt 所面向的用户
                new Claim(ClaimTypes.Role,"Admin") //加入角色认证信息
            };
            //2.3、创建signiture
            var secretByte = Encoding.UTF8.GetBytes(_configuration["Authentication:secretKey"]);
            var signingKey = new SymmetricSecurityKey(secretByte);//对密码进行加密
            var signingCredentials = new SigningCredentials(signingKey, signingAlgorithm); //验证加密后的私钥
            //2.4、创建jwt
            var token = new JwtSecurityToken(
                issuer: _configuration["Authentication:issuer"],//谁发布的
                audience: _configuration["Authentication:audience"],//发布给谁用
                claims,//payload数据
                notBefore:DateTime.UtcNow,//发布时间
                expires:DateTime.UtcNow.AddMinutes(10),//有效期10分钟
                signingCredentials //数字签名
                );
            var tokenString = new JwtSecurityTokenHandler().WriteToken(token);//转成字符串token
            //3、返回200 OK，回传jwt
            return Ok(tokenString);
        }
    }
}

第二步：更新文件夹 Controllers 下控制器 BookController.cs 文件，指定访问action的角色名称，关键代码 [Authorize(Roles = "Admin")] 。

using Demo19_IdentityServerJWT.Models;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Controllers
{
    public class BookController : Controller
    {
        [HttpPost]
        [Authorize(Roles = "Admin")]
        public IActionResult CreateNewBook([FromBody]BookDto bookDto)
        {
            return  Created("donesoft.cn",bookDto);
        }
    }
}

第三步：完成以上就完成了角色和权限功能。

3.4、完成注册过程

　　这节来完成注册过程，注册需要用到数据库，这里用到了EFCore，跟着下面一起操作吧。

第一步：nuget安装 Microsoft.AspNetCore.Identity.EntityFrameworkCore v5.0.15 。

第二步：项目下创建Database文件夹，在创建一个数据库上下文AppDbContext.cs来管理数据库数据。

using Demo19_IdentityServerJWT.Models;
using Microsoft.AspNetCore.Identity;
using Microsoft.AspNetCore.Identity.EntityFrameworkCore;
using Microsoft.EntityFrameworkCore;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Database
{
    public class AppDbContext : IdentityDbContext<IdentityUser>
    {
        public AppDbContext(DbContextOptions<AppDbContext> options) : base(options)
        {
        }
        public DbSet<BookDto> BookDtos { get; set; }
    }
}

using System;
using System.Collections.Generic;
using System.ComponentModel.DataAnnotations;
using System.ComponentModel.DataAnnotations.Schema;
using System.Linq;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Models
{
    public class BookDto
    {
        [Key]
        public int Id { get; set; }
        [Required]
        [MaxLength(100)]
        public string BookName { get; set; }
        [Required]
        [Column(TypeName = "decimal(18, 2)")]
        public decimal UnitPrice { get; set; }//单价
        [Range(0.0, 1.0)]
        public double? DiscountPresent { get; set; }//折扣
        public DateTime CreateTime { get; set; }
        public DateTime? UpdateTime { get; set; }
    }
}

第三步：更新项目下文件Startup.cs里 public void ConfigureServices(IServiceCollection services) 方法里代码，注册身份认证服务框架依赖，关键代码 services.AddIdentity<IdentityUser, IdentityRole>().AddEntityFrameworkStores<AppDbContext>();//注册身份认证服务框架依赖 。

using Demo19_IdentityServerJWT.Database;
using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.AspNetCore.Builder;
using Microsoft.AspNetCore.Hosting;
using Microsoft.AspNetCore.Identity;
using Microsoft.Extensions.Configuration;
using Microsoft.Extensions.DependencyInjection;
using Microsoft.Extensions.Hosting;
using Microsoft.IdentityModel.Tokens;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT
{
    public class Startup
    {
        public Startup(IConfiguration configuration)
        {
            Configuration = configuration;
        }

        public IConfiguration Configuration { get; }

        // This method gets called by the runtime. Use this method to add services to the container.
        public void ConfigureServices(IServiceCollection services)
        {
            services.AddIdentity<IdentityUser, IdentityRole>().AddEntityFrameworkStores<AppDbContext>();//注册身份认证服务框架依赖
            services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme).//使用jwtBearer注册身份认真服务
                AddJwtBearer(options =>//配置jwtBearer
                {
                    var secretByte = Encoding.UTF8.GetBytes(Configuration["Authentication:secretKey"]);
                    options.TokenValidationParameters = new TokenValidationParameters()
                    {
                        //只有配置的发布者donesoft.cn才会被接受
                        ValidateIssuer = true,
                        ValidIssuer = Configuration["Authentication:issuer"],
                        //只有配置的使用者donesoft.cn才会被接受
                        ValidateAudience = true,
                        ValidAudience = Configuration["Authentication:audience"],
                        //验证token是否过期
                        ValidateLifetime=true,
                        //对密码进行加密
                        IssuerSigningKey=new SymmetricSecurityKey(secretByte)
                    };
                });
            services.AddControllersWithViews(); 
        }

        // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
        public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
        {
            if (env.IsDevelopment())
            {
                app.UseDeveloperExceptionPage();
            }
            else
            {
                app.UseExceptionHandler("/Home/Error");
            }
            app.UseStaticFiles();
            //使用路由,访问去哪里?
            app.UseRouting();
            //验证中间件,你有什么权限?
            app.UseAuthentication();
            //授权中间件,你可以干什么?
            app.UseAuthorization();  

            app.UseEndpoints(endpoints =>
            {
                endpoints.MapControllerRoute(
                    name: "default",
                    pattern: "{controller=Home}/{action=Index}/{id?}");
            });
        }
    }
}

第四步：打开Visual Studio菜单栏视图=》SQL Server对象资源管理器，创建一个测试数据库TestDB，打开TestDB的属性，找到连接字符串保存到配置文件 appsettings.json 中。

{
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft": "Warning",
      "Microsoft.Hosting.Lifetime": "Information"
    }
  },
  "AllowedHosts": "*",
  "Authentication": {
    "secretKey": "jwtTestsMiMa777888999", //jwt密码
    "issuer": "donesoft.cn", //发布者
    "audience": "donesoft.cn" //发布给谁用
  },
  "DbContext": {
    "ConnectionString": "Data Source=(localdb)\\MSSQLLocalDB;Initial Catalog=TestDB;Integrated Security=True;Connect Timeout=30;Encrypt=False;TrustServerCertificate=False;ApplicationIntent=ReadWrite;MultiSubnetFailover=False"
  }
}

第五步：nuget安装EFCore需要的迁移工具 Microsoft.EntityFrameworkCore.Tools v5.0.15 、sqlServer包  Microsoft.EntityFrameworkCore v5.0.15 和  Microsoft.EntityFrameworkCore.SqlServer v5.0.15 。在更新Startup.cs里 public void ConfigureServices(IServiceCollection services) 方法里代码，添加EF Core的使用 services.AddDbContext<AppDbContext>(options => { options.UseSqlServer(Configuration["DbContext:ConnectionString"]); }); 。

using Demo19_IdentityServerJWT.Database;
using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.AspNetCore.Builder;
using Microsoft.AspNetCore.Hosting;
using Microsoft.AspNetCore.Identity;
using Microsoft.EntityFrameworkCore;
using Microsoft.Extensions.Configuration;
using Microsoft.Extensions.DependencyInjection;
using Microsoft.Extensions.Hosting;
using Microsoft.IdentityModel.Tokens;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Text;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT
{
    public class Startup
    {
        public Startup(IConfiguration configuration)
        {
            Configuration = configuration;
        }

        public IConfiguration Configuration { get; }

        // This method gets called by the runtime. Use this method to add services to the container.
        public void ConfigureServices(IServiceCollection services)
        {
            services.AddDbContext<AppDbContext>(options => {
                options.UseSqlServer(Configuration["DbContext:ConnectionString"]);
            });
            services.AddIdentity<IdentityUser, IdentityRole>().AddEntityFrameworkStores<AppDbContext>();//注册身份认证服务框架依赖
            services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme).//使用jwtBearer注册身份认真服务
                AddJwtBearer(options =>//配置jwtBearer
                {
                    var secretByte = Encoding.UTF8.GetBytes(Configuration["Authentication:secretKey"]);
                    options.TokenValidationParameters = new TokenValidationParameters()
                    {
                        //只有配置的发布者donesoft.cn才会被接受
                        ValidateIssuer = true,
                        ValidIssuer = Configuration["Authentication:issuer"],
                        //只有配置的使用者donesoft.cn才会被接受
                        ValidateAudience = true,
                        ValidAudience = Configuration["Authentication:audience"],
                        //验证token是否过期
                        ValidateLifetime=true,
                        //对密码进行加密
                        IssuerSigningKey=new SymmetricSecurityKey(secretByte)
                    };
                });
            services.AddControllersWithViews(); 
        }

        // This method gets called by the runtime. Use this method to configure the HTTP request pipeline.
        public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
        {
            if (env.IsDevelopment())
            {
                app.UseDeveloperExceptionPage();
            }
            else
            {
                app.UseExceptionHandler("/Home/Error");
            }
            app.UseStaticFiles();
            //使用路由,访问去哪里?
            app.UseRouting();
            //验证中间件,你有什么权限?
            app.UseAuthentication();
            //授权中间件,你可以干什么?
            app.UseAuthorization();  

            app.UseEndpoints(endpoints =>
            {
                endpoints.MapControllerRoute(
                    name: "default",
                    pattern: "{controller=Home}/{action=Index}/{id?}");
            });
        }
    }
}

第六步：打开Visual Studio菜单工具=》Nuget包管理器=》程序包管理器控制台 中输入命令 EntityFrameworkCore\Enable-Migrations 打开迁移，再用命令 EntityFrameworkCore\Add-Migration InitDB 和 EntityFrameworkCore\update-database 更新Identity EFCore相关的角色权限数据表到数据库中（打开数据库就可以看见刚刚迁移的数据表）。不少很清楚EF的迁移可以看我的文章https://www.cnblogs.com/bigbox777/p/13907142.html。

  

第七步：更新项目文件夹 Controllers 下控制器 AuthenticateController.cs 文件，添加注册用户action函数，这里需要依赖注入用户工具类 private readonly UserManager<IdentityUser> _userManager； 。

using Demo19_IdentityServerJWT.Models;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Identity;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Configuration;
using Microsoft.IdentityModel.Tokens;
using System;
using System.Collections.Generic;
using System.IdentityModel.Tokens.Jwt;
using System.Linq;
using System.Security.Claims;
using System.Text;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Controllers
{
    public class AuthenticateController : ControllerBase
    {
        private readonly IConfiguration _configuration;//配置文件
        private readonly UserManager<IdentityUser> _userManager; //依赖注入的用户工具
        public AuthenticateController(IConfiguration configuration, UserManager<IdentityUser> userManager)
        {
            _configuration = configuration;
            _userManager = userManager;
        }
        
        [AllowAnonymous] //允许匿名访问
        [HttpPost]
        public IActionResult Login([FromBody] LoginDto loginDto)
        {
            //1、验证用户名和密码
            //2、创建jwt（header、payload、signiture）
            //2.1、创建header
            var signingAlgorithm = SecurityAlgorithms.HmacSha256;//存储使用算法
            //2.2、创建payload
            var claims = new Claim[]
            {
                new Claim(JwtRegisteredClaimNames.Sub,"BigBox777"), //自定义数据部分,这里使用JWT标准定义的Sub表示该 jwt 所面向的用户
                new Claim(ClaimTypes.Role,"Admin") //加入角色认证信息
            };
            //2.3、创建signiture
            var secretByte = Encoding.UTF8.GetBytes(_configuration["Authentication:secretKey"]);
            var signingKey = new SymmetricSecurityKey(secretByte);//对密码进行加密
            var signingCredentials = new SigningCredentials(signingKey, signingAlgorithm); //验证加密后的私钥
            //2.4、创建jwt
            var token = new JwtSecurityToken(
                issuer: _configuration["Authentication:issuer"],//谁发布的
                audience: _configuration["Authentication:audience"],//发布给谁用
                claims,//payload数据
                notBefore:DateTime.UtcNow,//发布时间
                expires:DateTime.UtcNow.AddMinutes(10),//有效期10分钟
                signingCredentials //数字签名
                );
            var tokenString = new JwtSecurityTokenHandler().WriteToken(token);//转成字符串token
            //3、返回200 OK，回传jwt
            return Ok(tokenString);
        }

        [AllowAnonymous] //允许匿名访问
        [HttpPost]
        public async Task<IActionResult> Register([FromBody] RegisterDto registerDto) //需要访问数据库用异步操作
        {
            //1、使用registerDto对象创建IdentityUser用户对象
            var user = new IdentityUser()
            {
                UserName = registerDto.Username
            };

            //2、使用UserManager来把密码hash加密,保存到数据库
            var result = await _userManager.CreateAsync(user, registerDto.Password);
            if (!result.Succeeded)
            {
                return BadRequest();
            }
            else
            {
                //3、返回200
                return Ok();
            }
        }
    }
}

第八步：注入还需要用到 RegisterDto.cs ，这用到了特性来比较密码是否一致 [Compare(nameof(Password), ErrorMessage ="密码输入不一致")] //比较两个字段是否一致 。

using System;
using System.Collections.Generic;
using System.ComponentModel.DataAnnotations;
using System.Linq;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Models
{
    public class RegisterDto
    {

        [Required]
        public string Username { get; set; }
        [Required]
        public string Password { get; set; }
        [Required]
        [Compare(nameof(Password), ErrorMessage ="密码输入不一致")] //比较两个字段是否一致
        public string ConfirmPassword { get; set; }
    }
}

第九步：以上就完成了注册功能，看下面测试结果。

3.5、完成登录过程

第一步：登录的过程还需要用到SignInManager这个签名工具类，更新项目文件夹 Controllers 下控制器 AuthenticateController.cs 文件，添加SignInManager的依赖注入和更新Action函数Login，添加登录验证的逻辑。

using Demo19_IdentityServerJWT.Models;
using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Identity;
using Microsoft.AspNetCore.Mvc;
using Microsoft.Extensions.Configuration;
using Microsoft.IdentityModel.Tokens;
using System;
using System.Collections.Generic;
using System.IdentityModel.Tokens.Jwt;
using System.Linq;
using System.Security.Claims;
using System.Text;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Controllers
{
    public class AuthenticateController : ControllerBase
    {
        private readonly IConfiguration _configuration;//配置文件
        private readonly UserManager<IdentityUser> _userManager; //依赖注入的用户工具
        private readonly SignInManager<IdentityUser> _signInManager;//依赖注入签名用户工具
        public AuthenticateController(IConfiguration configuration, 
            UserManager<IdentityUser> userManager,
            SignInManager<IdentityUser> signInManager)
        {
            _configuration = configuration;
            _userManager = userManager;
            _signInManager = signInManager;
        }
        
        [AllowAnonymous] //允许匿名访问
        [HttpPost]
        public async Task<IActionResult> Login([FromBody] LoginDto loginDto)
        {
            //1、验证用户名和密码
            var loginResult = await _signInManager.PasswordSignInAsync(
                loginDto.Username,//用户名
                loginDto.Password,//密码
                false,//关闭浏览器后登录 cookie 是否应保持不变
                false//登录失败时是否锁定用户帐户
                );
            if (!loginResult.Succeeded)
            {
                return BadRequest();
            }
            //从数据库中取得用户数据
            var user = await _userManager.FindByNameAsync(loginDto.Username);
            //2、创建jwt的header
            var signingAlgorithm = SecurityAlgorithms.HmacSha256;//存储使用算法
            //3、创建jwt的payload
            var claims = new List<Claim>()
            {
                new Claim(JwtRegisteredClaimNames.Sub,user.Id)
            };
            //获取用户所有角色,把角色加入payload数据中
            var roleNames = await _userManager.GetRolesAsync(user);
            foreach (var roleName in roleNames)
            {
                var roleClaim = new Claim(ClaimTypes.Role, roleName);
                claims.Add(roleClaim);
            }
            //4、创建jwt的signiture
            var secretByte = Encoding.UTF8.GetBytes(_configuration["Authentication:secretKey"]);
            var signingKey = new SymmetricSecurityKey(secretByte);//对密码进行加密
            var signingCredentials = new SigningCredentials(signingKey, signingAlgorithm); //验证加密后的私钥
            //5、创建jwt
            var token = new JwtSecurityToken(
                issuer: _configuration["Authentication:issuer"],//谁发布的
                audience: _configuration["Authentication:audience"],//发布给谁用
                claims,//payload数据
                notBefore: DateTime.UtcNow,//发布时间
                expires: DateTime.UtcNow.AddMinutes(10),//有效期10分钟
                signingCredentials //数字签名
                );
            var tokenString = new JwtSecurityTokenHandler().WriteToken(token);//转成字符串token
            //6、返回200 OK，回传jwt
            return Ok(tokenString);

            #region Login之前测试代码
            ////2、创建jwt（header、payload、signiture）
            ////2.1、创建header
            //var signingAlgorithm = SecurityAlgorithms.HmacSha256;//存储使用算法
            ////2.2、创建payload
            //var claims = new Claim[]
            //{
            //    new Claim(JwtRegisteredClaimNames.Sub,"BigBox777"), //自定义数据部分,这里使用JWT标准定义的Sub表示该 jwt 所面向的用户
            //    new Claim(ClaimTypes.Role,"Admin") //加入角色认证信息
            //};
            ////2.3、创建signiture
            //var secretByte = Encoding.UTF8.GetBytes(_configuration["Authentication:secretKey"]);
            //var signingKey = new SymmetricSecurityKey(secretByte);//对密码进行加密
            //var signingCredentials = new SigningCredentials(signingKey, signingAlgorithm); //验证加密后的私钥
            ////2.4、创建jwt
            //var token = new JwtSecurityToken(
            //    issuer: _configuration["Authentication:issuer"],//谁发布的
            //    audience: _configuration["Authentication:audience"],//发布给谁用
            //    claims,//payload数据
            //    notBefore: DateTime.UtcNow,//发布时间
            //    expires: DateTime.UtcNow.AddMinutes(10),//有效期10分钟
            //    signingCredentials //数字签名
            //    );
            //var tokenString = new JwtSecurityTokenHandler().WriteToken(token);//转成字符串token
            ////3、返回200 OK，回传jwt
            //return Ok(tokenString); 
            #endregion
        }

        [AllowAnonymous] //允许匿名访问
        [HttpPost]
        public async Task<IActionResult> Register([FromBody] RegisterDto registerDto) //需要访问数据库用异步操作
        {
            //1、使用registerDto对象创建IdentityUser用户对象
            var user = new IdentityUser()
            {
                UserName = registerDto.Username
            };

            //2、使用UserManager来把密码hash加密,保存到数据库
            var result = await _userManager.CreateAsync(user, registerDto.Password);
            if (!result.Succeeded)
            {
                return BadRequest();
            }
            else
            {
                //3、返回200
                return Ok();
            }
        }
    }
}

第二步：给需要验证的Action都加上IdentityServer的Bearer验证，关键代码 [Authorize(AuthenticationSchemes = "Bearer")] ，否则就会返回404错误。

第三步：验证一下。

3.6、自定义用户模型，添加初始化数据

　　修改用户模型之前，先来介绍一下IdentityServer框架默认添加的用户数据表功能，看下图。

第一步：在项目文件夹 Models 下创建自定义用户模型ApplicationUser.cs，继承自IdentityServer框架的IdentityUser。

using Microsoft.AspNetCore.Identity;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Models
{
    public class ApplicationUser:IdentityUser
    {
        public string Address { get; set; } //添加拓展的字段
        //建立代码和模型的关系
        public virtual ICollection<IdentityUserRole<string>> UserRoles { get; set; } //用户角色
        public virtual ICollection<IdentityUserClaim<string>> Claims { get; set; } //用户权限声明
        public virtual ICollection<IdentityUserLogin<string>> Logins { get; set; } //用户第三方登录信息
        public virtual ICollection<IdentityUserToken<string>> Tokens { get; set; } //用户登录的session
    }
}

第二步：把项目里使用的全部 IdentityUser类 替换成我们自定义的 ApplicationUser 类， Startup.cs 、 AppDbContext.cs 和 AuthenticateController.cs 。

第三步：更改项目文件夹 Database 下AppDbContext.cs，重写 protected override void OnModelCreating(ModelBuilder modelBuilder) 方法，加入初始化数据库代码。

using Demo19_IdentityServerJWT.Models;
using Microsoft.AspNetCore.Identity;
using Microsoft.AspNetCore.Identity.EntityFrameworkCore;
using Microsoft.EntityFrameworkCore;
using System;
using System.Collections.Generic;
using System.Linq;
using System.Threading.Tasks;

namespace Demo19_IdentityServerJWT.Database
{
    public class AppDbContext : IdentityDbContext<ApplicationUser>
    {
        public AppDbContext(DbContextOptions<AppDbContext> options) : base(options)
        {
        }
        public DbSet<BookDto> BookDtos { get; set; }
        protected override void OnModelCreating(ModelBuilder builder)
        {
            // 初始化用户与角色的种子数据
            // 1. 更新用户ApplicationUser与角色IdentityUserRole的外键关系
            builder.Entity<ApplicationUser>(b => {
                b.HasMany(x => x.UserRoles)
                .WithOne() //HasMany表示和一对多的关系
                .HasForeignKey(ur => ur.UserId) //使用IdentityUserRole的UserId作为外键
                .IsRequired(); //不能为空必填
            });

            // 2. 添加管理员角色
            var adminRoleId = "308660dc-ae51-480f-824d-7dca6714c3e2"; // guid 
            builder.Entity<IdentityRole>().HasData(
                new IdentityRole
                {
                    Id = adminRoleId,
                    Name = "Admin",
                    NormalizedName = "Admin".ToUpper()
                }
            );

            // 3. 添加用户
            var adminUserId = "90184155-dee0-40c9-bb1e-b5ed07afc04e";
            ApplicationUser adminUser = new ApplicationUser
            {
                Id = adminUserId,
                UserName = "BigBox777",
                NormalizedUserName = "BigBox777".ToUpper(),
                Email = "BigBox777@donesoft.cn",
                NormalizedEmail = "BigBox777@donesoft.cn".ToUpper(),
                TwoFactorEnabled = false,
                EmailConfirmed = true,
                PhoneNumber = "13888888888",
                PhoneNumberConfirmed = false
            };
            PasswordHasher<ApplicationUser> ph = new PasswordHasher<ApplicationUser>();
            adminUser.PasswordHash = ph.HashPassword(adminUser, "Abcdef123$");
            builder.Entity<ApplicationUser>().HasData(adminUser);

            // 4. 给用户加入管理员权限
            // 通过使用 linking table：IdentityUserRole
            builder.Entity<IdentityUserRole<string>>().HasData(
                new IdentityUserRole<string>()
                {
                    RoleId = adminRoleId,
                    UserId = adminUserId
                });
            base.OnModelCreating(builder);
        }
    }
}

第四步：打开Visual Studio菜单工具=》Nuget包管理器=》程序包管理器控制台 中输入命令 EntityFrameworkCore\Enable-Migrations 打开迁移。

第五步：以上就完成了用户模型的扩展功能，可以登录测试一下。

4、参考

　　EF数据迁移完整步骤 https://www.cnblogs.com/bigbox777/p/13907142.html