如何精通ASP.NET Core 2.1中JWT原理及实现，构建高效安全的认证系统？

本文共计3040个文字，预计阅读时间需要13分钟。

为什么最近移动开发的潮流越来越足，学校搞的各种比赛都需用手机APP来参与现场，所以作为写后端的，很有必要改进一下以前的基于Session的身份认证方式。

为什么使用 Jwt

最近，移动开发的劲头越来越足，学校搞的各种比赛都需要用手机 APP 来撑场面，所以，作为写后端的，很有必要改进一下以往的基于 Session 的身份认证方式了，理由如下：

• 移动端经常要保持长时间（1 到 2 星期）在线，但是 Session 却不好在服务端保存这么久，虽然可以持久化到数据库，但是还是挺费资源
• 移动端往往不是使用的网页技术，所以藏在 Cookie 里面的 SessionId 不是很方便的传递给服务端
• 服务端暴露给客户端的接口往往是 RESTful 风格的，这是一种无状态的 API 风格，所以身份认证的方式最好也是无状态的才好

所以我选择了使用 Jwt (Json Web Token) 这个技术。Jwt 是一种无状态的分布式的身份验证方式，与 Session 相反，Jwt 将用户信息存放在 Token 的 payload 字段保存在客户端，通过 RSA 加密的方式，保证数据不会被篡改，验证数据有效性。