C# 服务器端的 JWT 令牌授权不清楚

Question

我有一个 github 项目链接，客户端在其中将Authorization标头发送到包含 JWT 令牌的服务器，如下所示。我无法理解的是，在服务器端，[Authorize(Role.Admin)]如何理解Role.Admin，即特定于应用程序的枚举值(属于帐户对象 - 详细信息)。

intercept(request: HttpRequest<any>, next: HttpHandler): Observable<HttpEvent<any>> {
// add auth header with jwt if account is logged in and request is to the api url
const account = this.accountService.accountValue;
const isLoggedIn = account && account.jwtToken;
const isApiUrl = request.url.startsWith(environment.apiUrl);
if (isLoggedIn && isApiUrl) {
request = request.clone({
setHeaders: { Authorization: `Bearer ${account.jwtToken}` }
});
}
return next.handle(request);
}

在服务器端，我有中间件类，其中包含像这样剥离令牌的代码：

try
{
var tokenHandler = new JwtSecurityTokenHandler();
var key = Encoding.ASCII.GetBytes(_appSettings.Secret);
tokenHandler.ValidateToken(token, new TokenValidationParameters
{
ValidateIssuerSigningKey = true,
IssuerSigningKey = new SymmetricSecurityKey(key),
ValidateIssuer = false,
ValidateAudience = false,
// set clockskew to zero so tokens expire exactly at token expiration time (instead of 5 minutes later)
ClockSkew = TimeSpan.Zero
}, out SecurityToken validatedToken);
var jwtToken = (JwtSecurityToken)validatedToken;
var accountId = int.Parse(jwtToken.Claims.First(x => x.Type == "id").Value);
// attach account to context on successful jwt validation
context.Items["Account"] = await dataContext.Accounts.FindAsync(accountId);
}
catch 
{
// do nothing if jwt validation fails
// account is not attached to context so request won't have access to secure routes
Console.WriteLine("Failed");
}

因此，在服务器端，我的控制器具有如下所示[Authorize(Role.Admin)]注释，我无法理解 -Authorize如何理解特定于应用程序的Role:Admin- 是通过内省吗？

[Authorize(Role.Admin)]
[HttpGet("all-dates")]
public ActionResult<ScheduleDateTimeResponse> GetAllDates()
{
var dates = _accountService.GetAllDates();
return Ok(dates);
}

Answer 1

该项目具有自定义授权属性，角色枚举在其范围内。这与 BCL 中的标准属性不同。此属性实现IAuthorizationFilter，asp.net 中间件理解必须针对此控制器操作调用这些。

Answer 2

应用程序可能在调用终结点之前引用某种身份验证服务。您应该能够在控制台日志中看到它。

如果没有某种公司自动服务包，请检查解决方案Nugets

。Ofc 如果您确定该角色不是 JWT 令牌的一部分。 您可以通过以下方式进行检查： https://jwt.io/

不好意思。。。但我不能简单地添加评论...