使用ASP.NET Identity保护3个ASP.NET Core 3微服务API项目可行吗？

嘿，Julia！这两个问题的答案都是肯定的，完全可以不用Identity Server，用ASP.NET Identity直接搞定多个微服务的身份认证和授权，我来给你一步步讲清楚怎么做：

一、用ASP.NET Identity保护多个微服务（无需Identity Server） #

你可以把ASP.NET Identity封装成一个独立的身份认证服务（比如叫AuthService），让另外3个微服务通过验证这个服务生成的令牌来实现保护。核心思路是：

• 所有微服务共享同一个Identity数据库（或者AuthService单独维护用户数据，其他微服务只做令牌验证）
• AuthService负责用户注册、登录、生成身份令牌（JWT）
• 其他微服务只需要验证令牌的有效性，无需直接操作Identity数据库

具体实现步骤大概是这样：

1. 搭建AuthService：创建一个ASP.NET Core 3项目，引入Microsoft.AspNetCore.Identity和System.IdentityModel.Tokens.Jwt包，配置Identity（指定用户、角色实体，连接数据库）
2. 配置JWT生成逻辑：在AuthService的配置里设置JWT的签发者、受众、签名密钥，然后写登录接口，当用户验证通过后，生成包含用户Claims（比如ID、角色）的JWT令牌返回给客户端
3. 配置微服务的令牌验证：在另外3个微服务的项目里，同样引入Microsoft.AspNetCore.Authentication.JwtBearer包，配置JWT验证选项（和AuthService用相同的签发者、受众、签名密钥），然后启用身份认证中间件
4. 保护API接口：在微服务的控制器或Action上添加[Authorize]特性，就能实现只有携带有效JWT的请求才能访问

二、用ASP.NET Identity JWT令牌保护3个微服务API #

这其实是上面方案的核心部分，我给你贴点关键代码片段参考（基于.NET Core 3的Startup.cs）：

AuthService里的JWT配置（Startup.cs） #

public void ConfigureServices(IServiceCollection services)
{
    // 配置ASP.NET Identity
    services.AddDbContext<AppDbContext>(options =>
        options.UseSqlServer(Configuration.GetConnectionString("IdentityDb")));
    
    services.AddIdentity<ApplicationUser, IdentityRole>()
        .AddEntityFrameworkStores<AppDbContext>()
        .AddDefaultTokenProviders();

    // 配置JWT选项
    var jwtSettings = Configuration.GetSection("JwtSettings");
    var signingKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(jwtSettings["SecretKey"]));

    services.AddAuthentication(options =>
    {
        options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
        options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
    })
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuer = jwtSettings["Issuer"],
            ValidateAudience = true,
            ValidAudience = jwtSettings["Audience"],
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = signingKey,
            ValidateLifetime = true
        };
    });

    services.AddControllers();
}

// 登录接口示例（AuthController.cs）
[HttpPost("login")]
public async Task<IActionResult> Login([FromBody] LoginModel model)
{
    var user = await _userManager.FindByNameAsync(model.Username);
    if (user != null && await _userManager.CheckPasswordAsync(user, model.Password))
    {
        var claims = new List<Claim>
        {
            new Claim(ClaimTypes.NameIdentifier, user.Id),
            new Claim(ClaimTypes.Name, user.UserName),
            // 按需添加角色或权限Claims
            ...
        };

        var token = new JwtSecurityToken(
            issuer: _jwtSettings.Issuer,
            audience: _jwtSettings.Audience,
            claims: claims,
            expires: DateTime.Now.AddHours(1),
            signingCredentials: new SigningCredentials(_signingKey, SecurityAlgorithms.HmacSha256)
        );

        return Ok(new { Token = new JwtSecurityTokenHandler().WriteToken(token) });
    }

    return Unauthorized();
}

微服务里的JWT验证配置（Startup.cs） #

public void ConfigureServices(IServiceCollection services)
{
    var jwtSettings = Configuration.GetSection("JwtSettings");
    var signingKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(jwtSettings["SecretKey"]));

    services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
        .AddJwtBearer(options =>
        {
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = true,
                ValidIssuer = jwtSettings["Issuer"],
                ValidateAudience = true,
                ValidAudience = jwtSettings["Audience"],
                ValidateIssuerSigningKey = true,
                IssuerSigningKey = signingKey,
                ValidateLifetime = true
            };
        });

    services.AddControllers();
}

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 其他中间件（比如异常处理、静态文件等）...
    app.UseAuthentication();
    app.UseAuthorization();
    // 其他中间件...
}

保护微服务API接口 #

[ApiController]
[Route("api/[controller]")]
[Authorize] // 添加这个特性，只有携带有效JWT的请求才能访问
public class OrdersController : ControllerBase
{
    // 你的API业务方法...
}

几个关键注意点 #

• 签名密钥要统一且安全：所有服务的JWT签名密钥必须一致，而且不能硬编码，建议用环境变量或者密钥管理工具存储
• 令牌有效期和刷新机制：如果令牌有效期短，要实现刷新令牌逻辑，避免用户频繁登录
• 权限细化：可以通过Claims添加用户的权限信息，微服务里可以用[Authorize(Roles = "Admin")]或者自定义策略来实现更细粒度的授权
• 数据库共享：如果多个微服务需要读取用户信息，可以共享Identity数据库的连接字符串，但要注意权限控制，尽量让微服务只做令牌验证，不要直接修改用户数据

内容的提问来源于stack exchange，提问作者Julia