将 Windows 身份验证和 JWT 限制为 ASP.NET Core 中的特定路由

方法 1：使用自定义中间件修改身份验证

此解决方案使用自定义中间件将 JWT 承载身份验证 和 Windows 身份验证（协商） 限制为 ASP.NET Core 后端中的特定路由。中间件确保根据路由的身份验证要求仅包含适当的 WWW-Authenticate 标头。

public class AuthenticationSchemeMiddleware
{
    private readonly RequestDelegate _next;
    public AuthenticationSchemeMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        var path = context.Request.Path;
        var authentication = context.RequestServices.GetRequiredService<IAuthenticationService>();
        if (path.StartsWithSegments("/api/jwt"))
        {
            context.Request.Headers["Authorization"] = "Bearer <your-token>";
        }
        else if (path.StartsWithSegments("/api/windows"))
        {
            context.Request.Headers["Authorization"] = "Negotiate";
        }
        await _next(context);
    }
}

public static class AuthenticationSchemeMiddlewareExtensions
{
    public static IApplicationBuilder UseAuthenticationSchemeMiddleware(this IApplicationBuilder builder)
    {
        return builder.UseMiddleware<AuthenticationSchemeMiddleware>();
    }
}

public void Configure(IApplicationBuilder app)
{
    app.UseAuthenticationSchemeMiddleware();
    app.UseAuthentication();
    app.UseAuthorization();
}

方式二：基于策略的细粒度控制授权

该解决方案使用授权策略为ASP.NET Core中的不同路由单独配置身份验证方案。这些策略允许您根据路由有选择地应用 JWT 承载身份验证 或 Windows 身份验证。

public void ConfigureServices(IServiceCollection services)
{
    services.AddAuthentication(options =>
    {
        options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
    })
    .AddJwtBearer(options =>
    {
        options.RequireHttpsMetadata = false;
        options.SaveToken = true;
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Issuer"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.ASCII.GetBytes(builder.Configuration["Jwt:Key"]))
        };
    })
    .AddNegotiate();

    services.AddAuthorization(options =>
    {
        options.AddPolicy("JwtAuthPolicy", policy =>
        {
            policy.AddAuthenticationSchemes(JwtBearerDefaults.AuthenticationScheme);
            policy.RequireAuthenticatedUser();
        });
        options.AddPolicy("WinAuthPolicy", policy =>
        {
            policy.AddAuthenticationSchemes(NegotiateDefaults.AuthenticationScheme);
            policy.RequireAuthenticatedUser();
        });
    });
}

public void Configure(IApplicationBuilder app)
{
    app.UseAuthentication();
    app.UseAuthorization();
    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
        endpoints.MapControllerRoute(
            name: "jwt",
            pattern: "api/jwt/{action}",
            defaults: new { controller = "Jwt" });
        endpoints.MapControllerRoute(
            name: "windows",
            pattern: "api/windows/{action}",
            defaults: new { controller = "Windows" });
    });
}

方法 3：基于路由的条件 WWW-Authenticate 标头

在此方法中，ASP.NET Core 配置为仅包含基于路由的适当的“WWW-Authenticate”标头，方法是拦截响应并有条件地调整标头。此方法利用中间件来更灵活地控制标头。

public class AuthenticationHeaderMiddleware
{
    private readonly RequestDelegate _next;
    public AuthenticationHeaderMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        var path = context.Request.Path;
        await _next(context);
        if (path.StartsWithSegments("/api/jwt"))
        {
            context.Response.Headers["WWW-Authenticate"] = "Bearer";
        }
        else if (path.StartsWithSegments("/api/windows"))
        {
            context.Response.Headers["WWW-Authenticate"] = "Negotiate";
        }
    }
}

public static class AuthenticationHeaderMiddlewareExtensions
{
    public static IApplicationBuilder UseAuthenticationHeaderMiddleware(this IApplicationBuilder builder)
    {
        return builder.UseMiddleware<AuthenticationHeaderMiddleware>();
    }
}

public void Configure(IApplicationBuilder app)
{
    app.UseAuthenticationHeaderMiddleware();
    app.UseAuthentication();
    app.UseAuthorization();
}

有关 ASP.NET Core 中 JWT 和 Windows 身份验证的常见问题

1. ASP.NET Core 中“AddJwtBearer”方法的用途是什么？
2. 这 AddJwtBearer 方法用于在 ASP.NET Core 中配置 JWT Bearer 身份验证。它允许您指定如何验证 JWT 令牌，包括设置令牌颁发者、受众和签名密钥等参数。这对于使用 JWT 令牌保护 API 至关重要，确保只有经过身份验证的用户才能访问受保护的资源。
3. 如何抑制 JWT 中的默认 WWW-Authenticate 标头？
4. 通过处理 OnChallenge 在 JWT Bearer 配置中，您可以抑制默认的 WWW-Authenticate 标头。您可以通过调用来做到这一点 context.HandleResponse()，这会阻止默认行为，然后手动设置自定义响应，例如发送带有 JSON 错误消息的 401 状态代码。
5. “AddNegotiate()”方法在 ASP.NET Core 身份验证上下文中执行什么操作？
6. 这 AddNegotiate() 方法使用协商协议配置 Windows 身份验证。这允许应用程序根据 Windows 凭据对用户进行身份验证，通常适用于用户已登录 Windows 域的企业环境。
7. 如何对不同的路由应用多种认证方案？
8. 您可以使用基于策略的授权，对不同的路由应用特定的认证方案。例如，您可以定义一个 JwtAuthPolicy 对于 JWT 保护的路由和 WinAuthPolicy 对于受 Windows 身份验证保护的路由。然后，通过使用 [Authorize(Policy = "PolicyName")] 属性，您可以将每个路由绑定到其各自的身份验证方案。
9. 为什么自定义“WWW-Authenticate”标头很重要？
10. 定制 WWW-Authenticate 标头确保仅向客户端通告相关的身份验证方法。例如，您不希望 JWT 路由建议 Negotiate 方法，这可能会使客户端感到困惑或导致不必要的身份验证提示。这种定制通过提供更清晰的身份验证流程来帮助优化安全性并改善用户体验。
11. 基于策略的授权如何帮助管理多个身份验证方案？
12. 基于策略的授权允许您为不同的路由定义自定义授权策略，每个策略都有特定的身份验证方案。通过分离关注点并确保对每个路由应用正确的安全措施，使您的代码更加灵活和可维护。您可以为每个路由定义不同的方案和要求，确保将正确的机制应用于适当的资源。
13. JWT 配置中的“OnChallenge”事件可以用于其他身份验证方案吗？
14. 是的， OnChallenge 事件也可用于自定义对其他方案中的身份验证质询的响应。例如，您可以使用它通过抑制默认标头或更改返回给客户端的错误消息来自定义协商身份验证方案的行为。此事件提供了一种控制身份验证挑战的强大方法。
15. ASP.NET Core 中“UseAuthentication”中间件的作用是什么？
16. 这 UseAuthentication 中间件用于在 ASP.NET Core 应用程序中启用身份验证。它确保检查传入请求是否有效的身份验证令牌或凭据。该中间件必须在之前添加 UseAuthorization 在执行任何授权检查之前正确验证用户身份的中间件。
17. 如何在 ASP.NET Core 中配置 API 的身份验证和授权？
18. 如需配置API的认证和授权，您需要使用 AddAuthentication 和 AddAuthorization `Program.cs` 文件中的方法。这些方法设置身份验证方案（如 JWT 和 Negotiate）并定义指定哪些路由应受哪个身份验证方案保护的策略。然后，使用 [Authorize] 属性来保护您的路线。
19. 在 Web API 中使用 JWT 承载身份验证有什么好处？
20. JWT 承载身份验证是一种无状态身份验证方法，它提供了一种可扩展且安全的方式来对用户进行身份验证，而无需在服务器上维护会话状态。它对于 API 特别有用，因为它允许用户使用令牌进行身份验证，该令牌可以轻松地在 HTTP 请求中传递，使其成为现代 Web 应用程序和移动客户端的理想选择。

确保特定路由的正确身份验证标头

在现代 ASP.NET Core 应用程序中，控制不同路由的身份验证方案（例如 JWT 和 Windows 身份验证）可以带来更干净、更安全的实现。这里的关键挑战是确保 WWW-验证 标头仅通告每个路由的适当身份验证方法。通过正确配置身份验证方案并自定义每个路由的响应标头，您可以消除冲突并提高应用程序的安全性。 🌐

对于您的情况，解决方案涉及对 JWT 和 Windows 身份验证使用自定义授权策略。借助这些策略，您可以控制每个路由应使用哪种身份验证方案。通过抑制默认值 WWW-验证 标头通过 挑战中 在 JWT 配置中，您可以定制响应以仅显示 JWT 路由的 Bearer 标头和 Windows 身份验证路由的 Negotiate 标头。这种方法可确保响应中仅发送相关标头，从而简化身份验证过程并改善用户体验。 🔒

通过使用这些技术，您可以为用户实现更清晰的身份验证流程，并避免不必要的身份验证提示。此外，它还可以更好地控制应用程序的安全状况。这是一个很好的例子，说明了如何在 ASP.NET Core 中微调身份验证以实现更定制、更健壮且更安全的 Web 应用程序。 💻