asp.net-web-api – Web API / MVC 6中的安全JSON Web令牌
发布时间:2021-03-30 17:44:43 所属栏目:asp.Net 来源:互联网
导读:安全问题: 根据 https://auth0.com/blog/2015/03/31/critical-vulnerabilities-in-json-web-token-libraries/,许多JWT库使用令牌本身来确定签名的算法. 这是我们的用例: 我们想要创建一个登录机制,使用硬凭证(用户名/密码)验证用户,然后返回一个JWT令牌,例
安全问题:
这是我们的用例: 我们可以在Web API / MVC 6中使用哪些库?重要的是可以在解码时指定签名算法以避免漏洞. 如果可能,我们希望避免集成复杂的OAuth组件. 解决方法我正在使用System.IdentityModel.Tokens.Jwt库,我刚刚检查了这个问题.我在我的一个测试中生成了一个令牌并验证了它,然后我删除了将alg更改为none的signingCredentials.使用“alg”生成的JWT:“none”验证失败.以下是我生成令牌的方法: public string GenerateToken(SSOContext context,SignatureSettings settings) { var token = new JwtSecurityToken( issuer: "MyIssuer",audience: "MyAudience",claims: GetClaims(context),//comment the below line to generate a 'none' alg signingCredentials: new X509SigningCredentials(settings.Certificate),notBefore: DateTime.UtcNow,expires: DateTime.UtcNow.AddHours(1) ); return new JwtSecurityTokenHandler().WriteToken(token); } 当我验证令牌时,我得到了一个与消息一样的异常
(编辑:大庆站长网) 【声明】本站内容均来自网络,其相关言论仅代表作者个人观点,不代表本站立场。若无意侵犯到您的权利,请及时与联系站长删除相关内容! |
相关内容
- asp.net通过Ajax UpdatePanel回传后滚动条位置变更解决方法
- asp.net – [DataType(DataType.EmailAddress)]和[EmailAdd
- asp.net – 如何访问Global.asax静态成员?
- asp.net – 是否有可能过滤SignalR中的接收器?
- 如何排序. .NET中的resx(资源文件)
- ASP.NET缓存管理的几种方法
- asp.net – .NET Web API 2 OWIN承载令牌认证
- Asp.Net 音频文件上传和播放代码
- asp.net – 来自WebHttpBinding的WCF服务中的Access Sessio
- asp.net – 使用umbraco的iis应用程序池使用过多的内存