如何在Okta集成的ASP.NET Core Web API中使用[Authorize]验证JWT令牌

问题描述 #

我近期在前端SPA应用中集成了Okta，同时在ASP.NET Core Web API中使用Okta独立API应用做授权，通过Access Token从前端SPA传递到后端Web API。我已经完成了本地JWT令牌验证的配置，但不想在每个API接口方法里写大量判断令牌有效性的if语句。之前用.NET Identity框架或Azure AD时，我可以在控制器全局或方法级别用[Authorize]标签，非常方便。我想知道能不能像之前那样通过Program.cs轻松配置该标签，还是必须自己构建自定义授权过滤器？

补充：我目前的实现方案如下：

using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.Filters;
using API.Okta;

namespace API.Filters
{
    public class OktaAuthorizeFilter : IAuthorizationFilter
    {
        private readonly IHttpContextAccessor _httpContextAccessor;
        private readonly Okta.IJwtValidator _validationService;

        public OktaAuthorizeFilter(IHttpContextAccessor httpContextAccessor, IJwtValidator validationService)
        {
            _httpContextAccessor = httpContextAccessor;
            _validationService = validationService;
        }

        public async void OnAuthorization(AuthorizationFilterContext context)
        {
            var authToken = _httpContextAccessor.HttpContext!.Request.Headers["Authorization"].ToString();

            if (String.IsNullOrEmpty(authToken))
            {
                context.Result = new UnauthorizedObjectResult(string.Empty);
                return;
            }

            var validatedToken = await _validationService.ValidateToken(authToken.Split(" ")[1]);

            if (validatedToken == null)
            {
                context.Result = new UnauthorizedObjectResult(string.Empty);
                return;
            }
        }
    }

    public class OktaAuthorizeAttribute : TypeFilterAttribute
    {
        public OktaAuthorizeAttribute() : base(typeof(OktaAuthorizeFilter))
        {
        }
    }
}

解决方案：用原生[Authorize]标签，无需自定义过滤器 #

完全不用自己写自定义过滤器，ASP.NET Core原生支持通过配置JWT Bearer认证，直接复用你熟悉的[Authorize]标签，步骤如下：

1. 添加必要NuGet包 #

确保项目引用Microsoft.AspNetCore.Authentication.JwtBearer包。

2. 在Program.cs中配置JWT Bearer认证 #

替换现有自定义验证逻辑，添加以下配置：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        // 替换为你的Okta授权服务器地址
        options.Authority = "https://你的Okta域名/oauth2/default";
        // 替换为你的API应用Client ID
        options.Audience = "你的API应用Client ID";
        
        // 可选：细化令牌验证规则
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true
        };
    });

// 注册授权服务
builder.Services.AddAuthorization();

var app = builder.Build();

// 启用认证和授权中间件（顺序不能错，要在路由之前）
app.UseAuthentication();
app.UseAuthorization();

3. 使用原生[Authorize]标签 #

现在可以像之前用.NET Identity/Azure AD那样，直接在控制器或方法上使用标签：

[ApiController]
[Route("api/[controller]")]
[Authorize] // 全局应用到整个控制器
public class MyController : ControllerBase
{
    [HttpGet]
    public IActionResult Get()
    {
        // 代码会自动经过令牌验证，无需手动判断
        return Ok("已通过授权");
    }

    [HttpGet("public")]
    [AllowAnonymous] // 单独开放某个接口无需授权
    public IActionResult PublicGet()
    {
        return Ok("公开内容");
    }
}

为什么不推荐自定义过滤器？ #

你当前的自定义过滤器存在几个问题：

• 重复造轮子：ASP.NET Core原生JWT认证中间件已经封装了令牌解析、有效性验证、过期检查等全套逻辑，无需手动实现
• 扩展性不足：原生中间件支持角色、策略授权（比如[Authorize(Roles = "Admin")]），自定义过滤器要实现这些需要额外开发
• 异步风险：你的OnAuthorization用了async void，这在ASP.NET Core过滤器中是不推荐的，可能导致异步操作未完成就返回响应，应该改用IAsyncAuthorizationFilter实现异步逻辑

特殊场景下的自定义过滤器优化（不推荐） #

如果因特殊需求必须用自定义过滤器，建议修复异步问题，改用IAsyncAuthorizationFilter：

public class OktaAuthorizeFilter : IAsyncAuthorizationFilter
{
    private readonly IHttpContextAccessor _httpContextAccessor;
    private readonly Okta.IJwtValidator _validationService;

    public OktaAuthorizeFilter(IHttpContextAccessor httpContextAccessor, IJwtValidator validationService)
    {
        _httpContextAccessor = httpContextAccessor;
        _validationService = validationService;
    }

    public async Task OnAuthorizationAsync(AuthorizationFilterContext context)
    {
        var authToken = _httpContextAccessor.HttpContext!.Request.Headers["Authorization"].ToString();

        if (string.IsNullOrEmpty(authToken) || !authToken.StartsWith("Bearer "))
        {
            context.Result = new UnauthorizedObjectResult(string.Empty);
            return;
        }

        var token = authToken.Split(" ")[1];
        var validatedToken = await _validationService.ValidateToken(token);

        if (validatedToken == null)
        {
            context.Result = new UnauthorizedObjectResult(string.Empty);
            return;
        }
    }
}

内容的提问来源于stack exchange，提问作者Qiuzman