ASP.NET Web API 个人用户账户模式下 Access Token 默认格式是什么？

1. AccessToken格式验证 #

• 你的认知是对的，带个人用户账户的ASP.NET Web API标准模板默认颁发的AccessToken并非JWT格式。.NET Framework版本的原生模板默认使用DPAPI加密的自定义Token格式，.NET Core版本的默认实现也采用了加密的身份验证Ticket格式，不是JWT那种三段式Base64Url编码的公开结构，所以直接做Base64解码无法得到有效内容。

2. Token是否包含Claims验证 #

• 你的判断完全正确，该类型Token内部确实存储了完整的Claims信息，包括但不限于用户ID、用户名、角色标识、自定义声明、Token过期时间、颁发时间等身份验证所需的全部元数据，只是所有内容都经过对称加密处理，只有部署该服务的站点持有对应的解密密钥，才能解析读取内部内容。

• 如果你需要将默认Token改为JWT格式，可直接修改身份验证配置：.NET Framework版本在OWIN启动类的ConfigureAuth方法中，给OAuthAuthorizationServerOptions的AccessTokenFormat属性赋值为JwtFormat实例即可；.NET Core版本在服务注册阶段配置JWT身份验证服务，替换默认的身份验证方案即可，示例配置如下：

// .NET Framework OWIN 配置示例
public void ConfigureAuth(IAppBuilder app)
{
    // 省略其他基础身份配置
    app.UseOAuthAuthorizationServer(new OAuthAuthorizationServerOptions
    {
        TokenEndpointPath = new PathString("/Token"),
        Provider = new ApplicationOAuthProvider(PublicClientId),
        AuthorizeEndpointPath = new PathString("/api/Account/ExternalLogin"),
        AccessTokenExpireTimeSpan = TimeSpan.FromDays(14),
        // 新增此行配置替换默认Token格式为JWT
        AccessTokenFormat = new JwtFormat(new TokenValidationParameters
        {
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("你的自定义签名密钥")),
            ValidateIssuer = true,
            ValidIssuer = "你的颁发方标识",
            ValidateAudience = true,
            ValidAudience = "你的接收方标识"
        })
    });
}

• 如果你不需要更换Token格式，仅需要在服务端获取Token对应的Claims，无需手动解密，直接通过框架内置API即可读取：.NET Framework版本调用HttpContext.GetOwinContext().Authentication.User.Claims，.NET Core版本直接读取HttpContext.User.Claims即可拿到解密后的声明集合。

内容的提问来源于stack exchange，提问作者Nik