使用JWT认证的Web API项目结构适配问题咨询

核心结论 #

完全可以沿用教程中的API与认证服务独立拆分的项目结构，JWT认证机制天生适配这种分布式架构，不需要依赖IdentityServer也能实现相同的拆分效果。

拆分架构的JWT适配实现 #

1. 独立认证服务（负责Token生成）

将原项目中的认证逻辑抽离为独立服务，核心是实现JWT的生成逻辑：

• 配置JWT参数：指定密钥（对称密钥或非对称密钥对）、Token过期时间、签发者（Issuer）、受众（Audience）
• 实现登录接口：验证用户身份后，基于用户信息生成包含必要Claims（如用户ID、角色、权限）的JWT Token并返回
• 示例核心代码：

// 生成JWT的核心逻辑
var claims = new List<Claim>
{
    new Claim(ClaimTypes.NameIdentifier, user.Id.ToString()),
    new Claim(ClaimTypes.Role, user.Role)
};

var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Jwt:Secret"]));
var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

var token = new JwtSecurityToken(
    issuer: Configuration["Jwt:Issuer"],
    audience: Configuration["Jwt:Audience"],
    claims: claims,
    expires: DateTime.Now.AddHours(1),
    signingCredentials: creds);

return new JwtSecurityTokenHandler().WriteToken(token);

2. 独立API服务（负责Token验证）

API服务只需配置JWT认证中间件，验证请求中的Token合法性：

• 在Program.cs中添加认证配置，指定与认证服务一致的Issuer、Audience和密钥
• 对需要认证的接口添加[Authorize]特性
• 示例核心代码：

// API服务的JWT认证配置
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Secret"]))
        };
    });

app.UseAuthentication();
app.UseAuthorization();

拆分架构对扩展性与维护性的优势 #

• 独立扩容：认证服务和API服务可根据各自流量独立伸缩（比如认证服务流量大时单独加实例）
• 职责单一：认证服务专注身份验证、Token生命周期管理，API服务聚焦业务逻辑，代码边界清晰，降低维护复杂度
• 服务复用：一个认证服务可为多个不同业务线的API服务提供统一身份验证能力，避免重复开发
• 安全隔离：认证服务的敏感逻辑（如用户密码存储、密钥管理）与业务API隔离，降低安全风险

关键注意事项 #

• 密钥管理：如果用对称密钥，需确保所有服务使用相同密钥，并通过环境变量、密钥管理服务安全存储，避免硬编码；非对称密钥则只需将公钥同步到API服务
• Token标准统一：所有服务的Issuer、Audience、Claims字段需保持一致，避免跨服务验证失败
• 跨域配置：若认证服务与API服务部署在不同域名/IP，需在API服务中配置CORS，允许前端从认证服务获取Token后向API发起请求

内容的提问来源于stack exchange，提问作者Arief Muizzuddin