[C#][ASP.NET] Web API 開發心得 (7) – 使用 Token 進行 API 授權驗證

Cookie vs Token:

使用 Token 有那些好處呢?

跨域: 不受網域限制，可用來串接第三方應用，如 OAuth。
安全性: 不使用 Cookie 因此無需擔心 CSRF 攻擊，不過 Token 並不能防護 XSS 攻擊，還是需要特別注意。[1]
行動端: 可用於不支援 Cookie 的裝置上，且現在網站和 APP 串接普遍使用 Token 授權。
什麼是 JWT (Json Web Token):

JWT 是網路上常見的 Token 類型，詳細規範可參考 RFC7519，
包含三個部分 header、payload、signature，並使用 . 串聯起來，結構如下。[2]

aaaaa.bbbbb.ccccc
Header

主要包含兩個資訊，加密演算法和 Token 的類型，並使用 base64 編碼。

{
“alg”: “HS256”,
“typ”: “JWT”
}
Payload

用來存放使用者的基本資料和相關的驗證資訊，並使用 base64 編碼。

{
“UserId”: “A01”,
“UserName”: “王小明”,
“exp”: “100000000”   //過期時間
}
Signature

確保資料完整性的雜湊簽章，由 Header 和 Payload 經過 base64 編碼後用 . 串接，再使用 HS256 加密後得到。

HMACSHA256(
base64UrlEncode(Header) + “.” +
base64UrlEncode(Payload),
secret
);
如何使用

使用時放在 Header 內的 Authoriaztion 標頭，並在 Token 前方加上 Bearer 關鍵字。

Authoriaztion: Bearer aaaaa.bbbbb.ccccc

AES(
base64UrlEncode(Payload),
secret,     //密鑰
iv          //IV
);
修改後的 Header

Header 目前用不到就拿來放 IV 吧，哈哈哈。

iv
修改後的 Signature

HMACSHA256(
iv +
base64UrlEncode(Payload),
secret   //密鑰
);
Token 結構

Authoriaztion: iv.payload.signature
接著要討論 Token 的換發流程，JWT 有個缺點，因為所有資訊都寫在 Token 內，雖然驗證時不必經過資料庫，但我們也不能透過資料庫銷毀 Token，只能靠設定過期時間讓它自己過期。

考慮到 Token 通常是給 APP 使用，如果像網頁一樣失效後，需重新輸入帳號密碼登入，一定會被嫌使用者體驗不好，但又不能將過期時間設太長，因為如果 Token 不小心被竊取，該帳號將會長時間處於不安全狀態，竊取者可以用此 Token 做任何事，我們無法讓其失效。

因此有人提出了 Refresh Token 的概念，當 Token 過期後可用 Refresh Token 換取新的，其存活時間可以很長。這樣我們就能將 Token 過期時間縮短，過期後再用 Refresh Token 換取新的就好，同時兼顧安全性和使用者體驗。[3]

到這裡一定有人會問 Refresh Token 如果被竊取呢，因為 Refresh Token 會儲存在資料庫內，所以可以透過刪除的方式銷毀 Refresh Token。那既然都能竊取，換一次偷一次呢，ㄜ…這就不在這篇的討論範圍內了，要記得網路上沒有絕對的安全，只能盡量優化我們的安全機制。

Token 和 Refresh Token 的換發方式:

使用者輸入帳號密碼，登入後取得 Token 和 Refresh Token。
{
“access_token”:”l0XG52TQx”,    //Token
“refresh_token”:”KWI3JOkFA”,   //Refresh Token
“expires_in”:3600              //幾秒過期
}
當 Token 過期後，使用 Refresh Token 要求換發新 Token，
Server 驗證 Refresh Token 成功後，將舊的 Refresh Token 刪除，並重新核發一組新的，格式同上。
Token-Based 登入流程:

登入流程 Token-Based 和 Cookie-Based 差不多，可以參考 另一篇 文章的 登入流程圖，兩者差在 Cookie-Based 將驗證資訊藉由 Cookie 送到後端，而 Token-Based 則是將 Token 放在 Header 的 Authoriaztion 標頭送到後端。

public class Token
{
//Token
public string access_token { get; set; }
//Refresh Token
public string refresh_token { get; set; }
//幾秒過期
public int expires_in { get; set; }
}
新增 Payload 類別，這裡稍微修改了 Payload 結構，將使用者資訊和過期時間分開。

public class Payload
{
//使用者資訊
public User info { get; set; }
//過期時間
public int exp { get; set; }
}
資料會像。

{
“info”: {
“UserId”: “A01”,
“UserName”: “王小明”
},
“exp”: “100000000”
}

[RoutePrefix(“api/token”)]
public class TokenController : ApiController
{
private TokenManager _tokenManager;
public TokenController()
{
_tokenManager = new TokenManager();
}

//紀錄 Refresh Token，需紀錄在資料庫
private static Dictionary<string, User> refreshTokens =
new Dictionary<string, User>();

//登入
[HttpPost]
[Route(“signIn”)]
public Token SignIn(SignInViewModel model)
{
//模擬從資料庫取得資料
if (!(model.UserId == “abc” && model.Password == “123”))
{
throw new Exception(“登入失敗，帳號或密碼錯誤”);
}
var user = new User
{
Id = 1,
UserId = “abc”,
UserName = “小明”,
Identity = Identity.User
};
//產生 Token
var token = _tokenManager.Create(user);
//需存入資料庫
refreshTokens.Add(token.refresh_token, user);
return token;
}

//換取新 Token
[HttpPost]
[Route(“refresh”)]
public Token Refresh([FromBody]string refreshToken)
{
//檢查 Refresh Token 是否正確
if (!refreshTokens.ContainsKey(refreshToken))
{
throw new Exception(“查無此 Refresh Token”);
}
//需查詢資料庫
var user = refreshTokens[refreshToken];
//產生一組新的 Token 和 Refresh Token
var token = _tokenManager.Create(user);
//刪除舊的
refreshTokens.Remove(refreshToken);
//存入新的
refreshTokens.Add(token.refresh_token, user);
return token;
}

//測試是否通過驗證
[HttpPost]
[Route(“isAuthenticated”)]
public bool IsAuthenticated()
{
var user = _tokenManager.GetUser();
if (user == null)
{
return false;
}
return true;
}
}