如何通过JWT令牌查找.NET Identity用户，实现Web应用自动登录？

核心逻辑 #

不存在直接通过JWT字符串查找用户的方法，你需要先验证并解析JWT令牌，提取出用户的唯一标识（比如对应Identity用户Id的NameIdentifier声明），再通过UserManager查询用户，最后调用SignInManager完成Cookie登录。

具体实现步骤 #

1. 同步JWT验证配置 #

确保Web应用的JWT验证参数（密钥、Issuer、Audience）和MAUI端完全一致，可在appsettings.json中配置：

"JwtSettings": {
  "SecretKey": "与MAUI端相同的密钥",
  "Issuer": "你的令牌签发方",
  "Audience": "你的令牌受众"
}

2. 编写JWT解析验证工具 #

使用System.IdentityModel.Tokens.Jwt库完成令牌的验证与解析：

using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;
using Microsoft.IdentityModel.Tokens;

public class JwtValidator
{
    private readonly IConfiguration _config;

    public JwtValidator(IConfiguration config)
    {
        _config = config;
    }

    public ClaimsPrincipal ValidateToken(string token)
    {
        var jwtSettings = _config.GetSection("JwtSettings");
        var validationParams = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuer = jwtSettings["Issuer"],
            ValidateAudience = true,
            ValidAudience = jwtSettings["Audience"],
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(jwtSettings["SecretKey"])),
            ValidateLifetime = true,
            ClockSkew = TimeSpan.Zero
        };

        var handler = new JwtSecurityTokenHandler();
        try
        {
            return handler.ValidateToken(token, validationParams, out _);
        }
        catch
        {
            return null;
        }
    }
}

3. 实现自动登录控制器逻辑 #

在目标页面的控制器中注入所需服务，完成从令牌到Cookie登录的流程：

using Microsoft.AspNetCore.Identity;
using Microsoft.AspNetCore.Mvc;

public class AccountController : Controller
{
    private readonly UserManager<IdentityUser> _userManager;
    private readonly SignInManager<IdentityUser> _signInManager;
    private readonly JwtValidator _jwtValidator;

    public AccountController(UserManager<IdentityUser> userManager,
                            SignInManager<IdentityUser> signInManager,
                            JwtValidator jwtValidator)
    {
        _userManager = userManager;
        _signInManager = signInManager;
        _jwtValidator = jwtValidator;
    }

    public async Task<IActionResult> AutoLogin(string token, string redirectUrl = "/")
    {
        if (string.IsNullOrWhiteSpace(token))
            return RedirectToAction("Login");

        var claimsPrincipal = _jwtValidator.ValidateToken(token);
        if (claimsPrincipal == null)
            return RedirectToAction("Login", new { error = "无效或过期的令牌" });

        // 从Claims中提取用户ID（默认JWT的NameIdentifier对应IdentityUser.Id）
        var userId = claimsPrincipal.FindFirstValue(ClaimTypes.NameIdentifier);
        if (userId == null)
            return RedirectToAction("Login", new { error = "令牌未包含用户标识" });

        var user = await _userManager.FindByIdAsync(userId);
        if (user == null)
            return RedirectToAction("Login", new { error = "用户不存在" });

        // 可选：验证用户状态（如是否禁用、邮箱是否验证）
        if (!await _userManager.IsEmailConfirmedAsync(user))
            return RedirectToAction("Login", new { error = "邮箱未验证" });

        // 生成Cookie身份凭证并完成登录
        await _signInManager.SignInAsync(user, isPersistent: false, authenticationMethod: "JWT-AutoLogin");

        // 跳转到目标页面，清理URL中的token参数
        return Redirect(redirectUrl);
    }
}

4. 关键安全注意事项 #

• 强制使用HTTPS：防止令牌在传输过程中被窃取
• 缩短令牌有效期：给用于自动登录的JWT设置5分钟以内的有效期，降低泄露风险
• 添加一次性验证：可在JWT中加入nonce声明，Web应用记录已使用的nonce，避免令牌重复利用
• 限定令牌用途：在JWT中添加purpose声明，明确该令牌仅用于自动登录，防止其他场景的令牌被滥用
• 清理URL参数：登录完成后跳转时，不要保留token参数，避免令牌被存入浏览器历史

内容的提问来源于stack exchange，提问作者Matthew Warr