如何处理移动端向MVC传递的JWT？同方案Web-API关联场景

哥们，先给你敲个核心重点：绝对不建议把JWT放在URL字符串里——URL会被存在浏览器历史、服务器日志甚至代理记录里，等于把敏感凭证裸奔，完全违背JWT的安全设计初衷。下面给你几个安全且适配你现有架构的方案：

1. 沿用请求头传递（首推！） #

既然你已经在Xamarin和Web-API之间用请求头带Token，那MVC这边直接复用这套逻辑就行，零学习成本还统一：

• Xamarin触发MVC控制器请求时，同样在请求头里加Authorization: Basic {你的JWT Token}（注意：通常JWT用Bearer前缀，但你已经用Basic的话保持一致就行，后续在MVC里调整解析逻辑即可）
• 在MVC项目里配置JWT认证中间件，解析请求头里的Token：
  以.NET 6+的Program.cs为例，添加这段代码：

  builder.Services.AddAuthentication(options =>
  {
      options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
      options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
  }).AddJwtBearer(options =>
  {
      // 这里的参数要和你Web-API里的配置完全一致！
      options.TokenValidationParameters = new TokenValidationParameters
      {
          ValidateIssuer = true,
          ValidateAudience = true,
          ValidateLifetime = true,
          ValidateIssuerSigningKey = true,
          ValidIssuer = "你的Issuer",
          ValidAudience = "你的Audience",
          IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("你的密钥"))
      };
      // 因为你用的是Basic前缀而不是默认的Bearer，所以要重写解析逻辑
      options.Events = new JwtBearerEvents
      {
          OnMessageReceived = context =>
          {
              var authHeader = context.Request.Headers["Authorization"].FirstOrDefault();
              if (!string.IsNullOrEmpty(authHeader) && authHeader.StartsWith("Basic "))
              {
                  context.Token = authHeader.Substring("Basic ".Length).Trim();
              }
              return Task.CompletedTask;
          }
      };
  });
  
  // 别忘了启用认证和授权中间件
  app.UseAuthentication();
  app.UseAuthorization();
  

  之后在需要验证的MVC控制器或Action上贴[Authorize]特性，就能自动完成Token的解析和验证了，和Web-API的逻辑完全对齐。

2. Cookie传递（适合WebView嵌入场景） #

如果你的MVC项目是给Xamarin的WebView返回页面，那用Cookie传递更方便：

• Xamarin发起请求时，在请求头里加Cookie: jwt_token={你的JWT Token}
• MVC这边要么配置Cookie认证结合JWT，要么直接从Cookie里取Token解析：
  控制器里可以这么拿：

  var jwtToken = Request.Cookies["jwt_token"];
  // 接下来用你Web-API里的同款逻辑解析验证Token就行
  

  这种方式的好处是WebView后续的请求会自动携带Cookie，不用每次手动加请求头。

3. 请求体传递（仅适合POST场景） #

如果是POST请求，也可以把JWT放在请求体里，比如：

• Xamarin构造POST请求，Body里放{"token": "你的JWT Token"}
• MVC控制器的Action接收这个参数：

  [HttpPost]
  public IActionResult YourAction([FromBody] TokenRequest request)
  {
      // 拿到request.Token后，用Web-API的验证逻辑处理
      // 业务代码...
  }
  
  // 定义接收模型
  public class TokenRequest
  {
      public string Token { get; set; }
  }
  

  不过这种方式局限性大，GET请求没法用，所以优先级不如前两种。

最后再啰嗦一遍：千万别把JWT放URL里，风险拉满。优先用请求头传递，和你现有Web-API的认证逻辑保持一致，既安全又能复用代码，省心！

内容的提问来源于stack exchange，提问作者RaZzLe