本文演示如何向有效用户提供jwt，以及如何在webapi中使用该token通过JwtBearerMiddleware中间件对用户进行身份认证。

认证和授权区别？

首先我们要弄清楚认证（Authentication）和授权（Authorization）的区别，以免混淆了。认证是确认的过程中你是谁，而授权围绕是你被允许做什么，即权限。显然，在确认允许用户做什么之前，你需要知道他们是谁，因此，在需要授权时，还必须以某种方式对用户进行身份验证。 

什么是JWT？

根据维基百科的定义，JSON WEB Token（JWT），是一种基于JSON的、用于在网络上声明某种主张的令牌（token）。JWT通常由三部分组成：头信息（header），消息体（payload）和签名（signature）。

头信息指定了该JWT使用的签名算法:

复制代码
header = '{"alg":"HS256","typ":"JWT"}'
复制代码

HS256表示使用了HMAC-SHA256来生成签名。

消息体包含了JWT的意图：

复制代码
payload = '{"loggedInAs":"admin","iat":1422779638}'//iat表示令牌生成的时间
复制代码

未签名的令牌由base64url编码的头信息和消息体拼接而成（使用"."分隔），签名则通过私有的key计算而成：

复制代码
key = 'secretkey'   unsignedToken = encodeBase64(header) + '.' + encodeBase64(payload)   signature = HMAC-SHA256(key, unsignedToken)
复制代码

最后在未签名的令牌尾部拼接上base64url编码的签名（同样使用"."分隔）就是JWT了：

复制代码
token = encodeBase64(header) + '.' + encodeBase64(payload) + '.' + encodeBase64(signature)  # token看起来像这样: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJsb2dnZWRJbkFzIjoiYWRtaW4iLCJpYXQiOjE0MjI3Nzk2Mzh9.gzSraSYS8EXBxLN_oWnFSRgCzcmJmMjLiuyu5CSpyHI
复制代码

JWT常常被用作保护服务端的资源（resource），客户端通常将JWT通过HTTP的Authorization header发送给服务端，服务端使用自己保存的key计算、验证签名以判断该JWT是否可信：

复制代码
Authorization: Bearer eyJhbGci*...<snip>...*yu5CSpyHI
复制代码

准备工作

使用vs2019创建webapi项目，并且安装nuget包

复制代码