ASP.NET Core MVC前端能否使用Laravel后端生成的JWT做权限控制

完全可以实现，你写的[Authorize]特性管控控制器、Action访问权限的写法完全可行，核心逻辑是让ASP.NET Core MVC端不负责JWT的签发，仅作为JWT的校验方，信任Laravel API后端签发的合法JWT即可。

• 对齐两边JWT配置参数
  Laravel作为JWT签发方，ASP.NET Core作为JWT校验方，两边必须统一以下配置：

  • 签发方（Issuer）、接收方（Audience）标识
  • 签名规则：如果用对称加密（HS256），两边使用完全相同的签名密钥；如果用非对称加密（RS256等），Laravel持有私钥签发Token，ASP.NET Core持有公钥做校验即可，不需要共享私钥
  • Token过期时间、时钟偏移配置，避免两边判断Token有效期不一致

• 给ASP.NET Core MVC项目配置JWT认证授权
  首先引入Microsoft.AspNetCore.Authentication.JwtBearerNuget包，然后在Program.cs中添加如下配置：

  builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
      .AddJwtBearer(options =>
      {
          options.TokenValidationParameters = new TokenValidationParameters
          {
              ValidateIssuer = true,
              ValidIssuer = "和Laravel配置一致的Issuer",
              ValidateAudience = true,
              ValidAudience = "和Laravel配置一致的Audience",
              ValidateIssuerSigningKey = true,
              // 对称加密用以下配置，非对称换成公钥初始化的RsaSecurityKey即可
              IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("和Laravel一致的JWT签名密钥")),
              ValidateLifetime = true,
              ClockSkew = TimeSpan.Zero
          };
          // 配置Token读取位置，MVC场景建议把JWT存在HttpOnly Cookie中防XSS
          options.Events = new JwtBearerEvents
          {
              OnMessageReceived = context =>
              {
                  if (context.Request.Cookies.TryGetValue("access_token", out var token))
                  {
                      context.Token = token;
                  }
                  return Task.CompletedTask;
              }
          };
      });
  
  // 注册对应授权策略，和你代码中用的[Authorize("CanView")]匹配
  builder.Services.AddAuthorization(options =>
  {
      options.AddPolicy("CanView", policy => 
          // 校验规则和Laravel签发JWT时写入的权限Claim字段对齐
          policy.RequireClaim("permission", "CanView")
      );
  });
  
  // 注意中间件顺序，认证授权中间件必须在路由、端点映射中间件之前
  app.UseAuthentication();
  app.UseAuthorization();
  

• 对齐权限声明规则
  Laravel签发JWT时，需要把用户对应的权限（比如CanView）写入JWT的Payload声明中，字段名和ASP.NET Core授权策略校验的字段保持一致，这样ASP.NET Core在校验Token时能读到对应的权限标识，授权特性就能正常生效。

• 所有登录、Token刷新、注销等身份相关操作全部由Laravel API实现，ASP.NET Core MVC端只负责调用对应接口，拿到Laravel返回的JWT后写入Cookie即可，不要在MVC端自行实现Token签发逻辑。
• 你给出的示例代码存在笔误，返回类型IAciton应为IActionResult，修正后可正常运行：

  [HttpGet]
  [Authorize("CanView")]
  public IActionResult OnlyAuthorizedUsersCanView()
  {
     return View();
  }
  

• 如果需要更灵活的权限管控，可以自定义授权过滤器，不需要为每个权限硬编码注册策略，直接读取JWT中携带的权限列表做动态校验即可。

内容的提问来源于stack exchange，提问作者Salim