如何从Bearer字符串令牌获取用户数据？现有验证方法未授权

我们有一个验证令牌并从Bearer令牌中获取用户信息的方法，但该方法未获得授权。想知道如何直接从字符串格式的令牌中获取用户数据？现有验证方法代码如下：

private static bool ValidateToken(string authToken)
{
    var tokenHandler = new JwtSecurityTokenHandler();
    var validationParameters = GetValidationParameters();

    SecurityToken validatedToken;
    IPrincipal principal = tokenHandler.ValidateToken(authToken, validationParameters, out validatedToken);

    //Get ID from Token
    var isValid = GetValidId(id)

    return true;
}

两种解决方案 #

1. 直接解析令牌（不验证合法性） #

如果你确定令牌来源可信，不需要验证签名、过期时间等，可以跳过校验直接解析提取数据：

private static ClaimsPrincipal ExtractUserFromToken(string authToken)
{
    var tokenHandler = new JwtSecurityTokenHandler();
    // 跳过验证流程，直接解析JWT的内容
    var jwtToken = tokenHandler.ReadJwtToken(authToken);
    // 构建包含用户所有Claims的Principal对象
    var identity = new ClaimsIdentity(jwtToken.Claims, "jwt");
    return new ClaimsPrincipal(identity);
}

// 使用示例
var userPrincipal = ExtractUserFromToken(authToken);
// 提取用户ID（根据你的JWT Claim类型调整，比如用自定义键"user_id"）
var userId = userPrincipal.FindFirst(System.Security.Claims.ClaimTypes.NameIdentifier)?.Value;
var userName = userPrincipal.FindFirst(System.Security.Claims.ClaimTypes.Name)?.Value;

2. 验证令牌后提取数据（保证数据可信） #

原有的ValidateToken方法已经完成了令牌合法性校验，你可以直接从返回的IPrincipal中提取用户数据，同时完善错误处理逻辑：

private static bool ValidateTokenAndGetUser(string authToken, out string userId)
{
    userId = null;
    var tokenHandler = new JwtSecurityTokenHandler();
    var validationParameters = GetValidationParameters();

    try
    {
        SecurityToken validatedToken;
        IPrincipal principal = tokenHandler.ValidateToken(authToken, validationParameters, out validatedToken);
        
        // 从Principal中提取用户ID
        userId = principal.FindFirst(System.Security.Claims.ClaimTypes.NameIdentifier)?.Value;
        if (userId == null)
        {
            return false;
        }
        
        // 验证ID有效性
        return GetValidId(userId);
    }
    catch (System.IdentityModel.Tokens.SecurityTokenException)
    {
        // 令牌验证失败（签名无效、过期、格式错误等）
        return false;
    }
}

注意事项 #

• 如果你的JWT使用自定义Claim键（比如不是标准的NameIdentifier，而是user_id），直接替换对应的字符串即可，例如：userPrincipal.FindFirst("user_id")?.Value
• 直接解析的方式不做任何合法性校验，仅适合令牌已经被其他环节验证过的场景，否则可能拿到伪造或过期的数据

内容的提问来源于stack exchange，提问作者dev mobile