. NET генерация недопустимых токенов JWT - PullRequest
Новая
       66

. NET генерация недопустимых токенов JWT

0 голосов
/ 22 января 2020

Я генерирую токен JWT в моем WindowsService с помощью IdentityModel.Tokens.Jwt, например так: 

private JwtSecurityToken GetJwtToken()
    {
        var symmetricSecurityKey = new SymmetricSecurityKey(Convert.FromBase64String(_secretKey));
        var signingCredentials = new SigningCredentials(symmetricSecurityKey, SecurityAlgorithms.HmacSha256Signature);
        return new JwtSecurityToken(
            "myIssuer",
            expires: DateTime.Now.AddMinutes(15),
            signingCredentials: signingCredentials
        );
    }

Затем я пишу этот токен с помощью JwtSecurityTokenHandler и отправляю его в запрос на Контроллер WebAPI: 

//some code...
// _tokenHandler below is a JwtSecurityTokenHandler
_httpClient.DefaultRequestHeaders.Add("jwtToken", _tokenHandler.WriteToken(GetJwtToken()));
HttpResponseMessage response = await _httpClient.GetAsync(url);
//...

И на стороне API я пытаюсь проверить токен: 

public bool Authenticate(string token)
    {
        if (string.IsNullOrEmpty(token))
            throw new ArgumentEmptyException(nameof(token));

        TokenValidationParameters parameters = new TokenValidationParameters
        {
            ValidIssuer = "myIssuer",
            ValidateIssuer = true,
            ValidateLifetime = true,
            IssuerSigningKey = new SymmetricSecurityKey(Convert.FromBase64String(SecretKey))
        };

        try
        {
            new JwtSecurityTokenHandler().ValidateToken(token, parameters, out SecurityToken validatedToken);
            return true;
        }
        catch (SecurityTokenException)
        {
            return false;
        }
    }
}

Это выдает ошибку ниже:

IDX12741: JWT: «[PII скрыт. Для получения дополнительной информации см. https://aka.ms/IdentityModel/PII.] 'должно иметь три сегмента (JWS) или пять сегментов (JWE).'

И пример сгенерированного токена, который на самом деле выглядит как два отправленных жетона одновременно, что сбивает меня с толку: 

eyJhbGciOiJodHRwOi8vd3d3LnczLm9yZy8yMDAxLzA0L3htbGRzaWctbW9yZSNobWFjLXNoYTI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE1Nzk2OTc3NzUsImlzcyI6Im15SXNzdWVyIn0.g9Mw7FijNzAzGofll5E44B8cJtOozln3nUjHKgnkdTs,

eyJhbGciOiJodHRwOi8vd3d3LnczLm9yZy8yMDAxLzA0L3htbGRzaWctbW9yZSNobWFjLXNoYTI1NiIsInR5cCI6IkpXVCJ9.eyJleHAiOjE1Nzk2OTc3ODAsImlzcyI6Im15SXNzdWVyIn0.Noc3lC0h_ryH6axlQJ2Kk2a8wcp5eQ0QhBqidfjuujo

Любой совет?

1 Ответ

1 голос
/ 24 января 2020

Маркер JWT сгенерирован правильно, проблема была в общем экземпляре HttpClient. Каждый последующий вызов добавлялся к значению jwtToken DefaultRequestHeaders.

Когда я добавил logi c для сброса значения перед добавлением нового токена, он работал: 

_httpClient.DefaultRequestHeaders.Remove("jwtToken"); // new
_httpClient.DefaultRequestHeaders.Add("jwtToken", _tokenHandler.WriteToken(GetJwtToken()));
...