JWT中的哪些信息对Asp.使用网络核心身份来授权令牌为有效?

Question

我一直在玩Asp。Net Core和JWT学习JWT。我的方法之一就是通过删除和修改信息来让事情"失效"。当我这样做的时候，我注意到我的项目会授权一个令牌，只要它只包含以下有效载荷(有效载荷是由api生成的，我删除了所有内容，但下面的部分除外):

{
"exp": 1633534580,
"iss": "http://localhost:59921",
"aud": "http://localhost:4200"
}

这似乎是一个安全问题，因为'iss'和'aud'会随着时间的推移保持不变，只有'exp'必须被正确猜测，这将很难获得有效的令牌。因此，我想知道Identity如何处理JWT以确定它是否有效，以及作为开发人员，我可以做什么或实现什么来提高使用JWT的安全性，以允许人们访问我的api端点?

generetes令牌的代码是这样的:

public async Task<IActionResult> Login([FromBody] LoginModel model)
{
var user = await userManager.FindByNameAsync(model.Username);
if (user != null && await userManager.CheckPasswordAsync(user, model.Password))
{
var userRoles = await userManager.GetRolesAsync(user);
var authClaims = new List<Claim>
{
new Claim(ClaimTypes.Name, user.UserName),
new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
};
foreach (var userRole in userRoles)
{
authClaims.Add(new Claim(ClaimTypes.Role, userRole));
}
var authSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_configuration["JWT:Secret"]));
var token = new JwtSecurityToken(
issuer: _configuration["JWT:ValidIssuer"],
audience: _configuration["JWT:ValidAudience"],
expires: DateTime.Now.AddHours(3),
claims: authClaims,
signingCredentials: new SigningCredentials(authSigningKey, SecurityAlgorithms.HmacSha256)
);
return Ok(new
{
token = new JwtSecurityTokenHandler().WriteToken(token),
expiration = token.ValidTo
});
}
return Unauthorized();
}

我的启动文件包含这个，关于身份验证。

services.AddAuthentication(options =>
{
options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(options =>
{
options.SaveToken = true;
options.RequireHttpsMetadata = false;
options.TokenValidationParameters = new TokenValidationParameters()
{
ValidateIssuer = true,
ValidateAudience = true,
ValidAudience = Configuration["JWT:ValidAudience"],
ValidIssuer = Configuration["JWT:ValidIssuer"],
IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["JWT:Secret"]))
};
});

代码基于本文:https://www.c-sharpcorner.com/article/authentication-and-authorization-in-asp-net-5-with-jwt-and-swagger/

——编辑——我想，对于生成令牌的人来说，他们还需要知道签名中的密钥，这确实增加了一些额外的安全性。

Answer 1

jwt是自包含的按值令牌，一旦发出并交付给接收方，就很难撤销它们。正因为如此，您应该尽可能缩短令牌的过期时间——最多几分钟或几小时。您应该避免将令牌的过期时间设置为几天或几个月。

请记住，包含过期时间的exp声明并不是唯一可用于验证的基于时间的声明。nbf声明包含一个"not-before"时间。如果当前时间早于nbf声明中的时间，则应拒绝令牌。另一种以时间为基础的索赔是在。您可以使用此声明来拒绝您认为太旧而不能与资源服务器一起使用的令牌。

使用基于时间的声明时，请记住，不同机器之间的服务器时间可能略有不同。在检查基于时间的值时，应该考虑允许时钟倾斜。这应该是几秒的值，我们不建议使用超过30秒的值，因为这更可能表明服务器有问题，而不是常见的时钟倾斜。

关于安全性，jWT安全性很大程度上取决于令牌的实现和使用方式。仅仅因为JWT包含加密签名，并不自动意味着它是安全的，或者您应该盲目地信任令牌。

可以关注密码学的安全标准和安全级别:

JSON Web令牌当前最佳实践和RFC 7518 JSON Web算法(JWA)