.NET6 MiniAPI如何实现基于角色的身份验证和授权？

本文共计1162个文字，预计阅读时间需要5分钟。

身份验证是一个过程：用户提供凭证，系统将凭证与存储在操作系统、数据库、应用或资源中的记录进行比对。若凭证匹配，用户身份验证成功，可执行相应操作。

身份验证是这样一个过程：由用户提供凭据，然后将其与存储在操作系统、数据库、应用或资源中的凭据进行比较。在授权过程中，如果凭据匹配，则用户身份验证成功，可执行已向其授权的操作。授权指判断允许用户执行的操作的过程。也可以将身份验证理解为进入空间（例如服务器、数据库、应用或资源）的一种方式，而授权是用户可以对该空间（服务器、数据库或应用）内的哪些对象执行哪些操作。

微软官方文档、

　　asp.net core支持多种授权，本篇重点说明JWT的基于角色授权方式。

　　基于JWT角色身份验证和授权，思路是在登录时分发加密的Token，在访问资源时带有这个Token，服务端要验证这个Token是不是自己分发的，如果是，再验证访问范围是否正确，本篇的范围就是那些资源是那种角色访问，得到Token的用户当前是那种角色，也就是角色和资源的匹配。