.NET控制台应用对接带JWT认证的.NET Core Web API的认证方案咨询

以下是适配你场景的两种可直接落地的实现方案，同时对应解答你的两个疑问： #

方案1：API密钥认证（适配低改造需求场景） #

合理性说明 #

内部服务调用场景下，传递API密钥是完全合理的实践，但不建议直接绕过认证体系，而是将API密钥作为和JWT并行的独立认证方案纳入现有权限体系，既不会破坏原有Angular端的认证逻辑，也不会产生安全漏洞，可行性很高。

实现步骤 #

1. 新增API密钥配置
   在appsettings.json中添加合法的服务调用密钥，生产环境建议存储在密钥管理器、云密钥 vault 等安全存储中：

"ApiKeys": {
  "ServiceTask": "32位以上强随机字符串密钥"
}

2. 实现API密钥认证处理程序
   新增自定义认证处理类，完成API密钥的校验和身份信息生成：

public class ApiKeyAuthenticationHandler : AuthenticationHandler<AuthenticationSchemeOptions>
{
    private const string ApiKeyHeaderName = "X-Api-Key";
    private readonly IConfiguration _configuration;

    public ApiKeyAuthenticationHandler(
        IOptionsMonitor<AuthenticationSchemeOptions> options,
        ILoggerFactory logger,
        UrlEncoder encoder,
        ISystemClock clock,
        IConfiguration configuration)
        : base(options, logger, encoder, clock)
    {
        _configuration = configuration;
    }

    protected override Task<AuthenticateResult> HandleAuthenticateAsync()
    {
        // 无API密钥时返回无结果，自动流转到JWT认证逻辑
        if (!Request.Headers.TryGetValue(ApiKeyHeaderName, out var requestApiKey))
        {
            return Task.FromResult(AuthenticateResult.NoResult());
        }

        // 校验密钥合法性
        var validKey = _configuration.GetValue<string>("ApiKeys:ServiceTask");
        if (!requestApiKey.Equals(validKey))
        {
            return Task.FromResult(AuthenticateResult.Fail("无效的API密钥"));
        }

        // 生成服务账号身份信息，可自定义角色/声明
        var claims = new[]
        {
            new Claim(ClaimTypes.Name, "ServiceTask"),
            new Claim(ClaimTypes.Role, "ServiceTaskRole")
        };
        var identity = new ClaimsIdentity(claims, Scheme.Name);
        var principal = new ClaimsPrincipal(identity);
        var ticket = new AuthenticationTicket(principal, Scheme.Name);

        return Task.FromResult(AuthenticateResult.Success(ticket));
    }
}

3. 注册认证方案和授权策略
   修改原有认证注册代码，新增API密钥认证方案，同时配置默认授权策略支持两种认证方式：

services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
})
// 原有JWT配置完全不需要修改
.AddJwtBearer(options =>
{
    options.SaveToken = true;
    options.RequireHttpsMetadata = false;
    options.IncludeErrorDetails = true;
    options.TokenValidationParameters = new TokenValidationParameters()
    {
        ValidateIssuer = false,
        ValidateAudience = false,       
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["JWT:Secret"]))    
    };
    options.Events = new JwtBearerEvents
    {
        OnAuthenticationFailed = context =>
        {
            if (context.Exception.GetType() == typeof(SecurityTokenExpiredException))
            {
                context.Response.Headers.Add("Token-Expired", "true");
            }
            return Task.CompletedTask;
        }
    };
})
// 新增API密钥认证方案
.AddScheme<AuthenticationSchemeOptions, ApiKeyAuthenticationHandler>("ApiKey", _ => { });

// 配置默认授权策略支持JWT和API密钥两种认证方式
services.AddAuthorization(options =>
{
    options.DefaultPolicy = new AuthorizationPolicyBuilder(
        JwtBearerDefaults.AuthenticationScheme, 
        "ApiKey")
        .RequireAuthenticatedUser()
        .Build();
});

4. 控制台调用方式
   控制台应用发起请求时只需要在请求头添加X-Api-Key: 你配置的密钥即可，不需要任何获取令牌的逻辑。

方案2：预生成服务账号JWT（适配高安全要求场景） #

如果你不想新增认证方案，也可以通过预生成服务账号专属JWT的方式实现，完全支持角色/声明校验：

实现逻辑 #

不需要让控制台应用走登录接口获取令牌，直接在API端预生成超长有效期/永久有效的服务账号专属JWT，直接发放给各个控制台使用即可。
生成服务账号JWT的示例代码：

public string GenerateServiceTaskToken()
{
    var claims = new[]
    {
        new Claim(ClaimTypes.Name, "ServiceTask"),
        new Claim(ClaimTypes.Role, "ServiceTaskRole"),
        new Claim("IsInternalService", "true")
    };

    var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["JWT:Secret"]));
    var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

    var token = new JwtSecurityToken(
        claims: claims,
        expires: DateTime.Now.AddYears(10), // 可设置为永久有效
        signingCredentials: creds);

    return new JwtSecurityTokenHandler().WriteToken(token);
}

控制台应用发起请求时只需要在请求头添加Authorization: Bearer 生成的JWT即可，现有JWT认证逻辑完全不需要修改，还可以通过[Authorize(Roles = "ServiceTaskRole")]实现细粒度的接口权限控制。 #

你的问题专项解答 #

1. 传递API密钥绕过认证是否合理可行：合理可行，但不建议直接绕过认证体系，而是按照方案1将API密钥作为独立认证方案纳入权限管控，既不会破坏现有逻辑，也能保障安全。
2. 是否可以为服务账号创建JWT角色/声明校验：完全可以，两种方案都支持给服务调用方添加专属的角色、自定义声明，可基于这些信息实现接口权限隔离、操作权限限制等细粒度管控。

内容的提问来源于stack exchange，提问作者A_developer