Bearer Token身份认证新手：Web API能否读写用户名外的信息？

嘿，作为刚接触基于令牌身份认证的新手，你的这两个问题问得特别到位，我来给你一步步讲清楚：

ClaimsPrincipal本质上是一堆**Claim（声明）**的集合，用户名只是其中最常用的一个声明（对应ClaimTypes.Name）。你可以通过Claim的类型（ClaimType）来获取各种额外信息，比如用户ID、角色、邮箱，甚至是你自定义的业务字段。

给你举个实际的代码示例，基于你提供的代码扩展：

ClaimsPrincipal principal = Request.GetRequestContext().Principal as ClaimsPrincipal;

// 获取用户名（你原来的代码）
var userName = ClaimsPrincipal.Current.Identity.Name;

// 获取用户ID（标准声明类型，对应JWT里的"sub"字段）
var userId = principal.FindFirst(ClaimTypes.NameIdentifier)?.Value;

// 获取用户邮箱
var userEmail = principal.FindFirst(ClaimTypes.Email)?.Value;

// 获取用户所有角色
var userRoles = principal.Claims
    .Where(c => c.Type == ClaimTypes.Role)
    .Select(c => c.Value)
    .ToList();

// 读取自定义声明（比如你自己加的"department"字段）
var userDepartment = principal.FindFirst("department")?.Value;

这里要注意，ClaimTypes是System.Security.Claims命名空间下的枚举，包含了很多标准化的声明类型；如果是你自己定义的业务字段，直接用自定义的字符串作为ClaimType去查找就行。

Bearer Token最常用的就是JWT（JSON Web Token），它的**Payload（载荷）**部分就是专门用来存储自定义信息的。下面分写入和读取两种场景给你示例：

写入自定义信息到JWT #

当你生成Bearer Token的时候，只需要在创建Claim集合时加入自定义字段即可，这里用System.IdentityModel.Tokens.Jwt库来演示：

using System.IdentityModel.Tokens.Jwt;
using System.Security.Claims;
using Microsoft.IdentityModel.Tokens;
using System.Text;

// 构建包含标准和自定义声明的集合
var claims = new List<Claim>
{
    new Claim(ClaimTypes.Name, "IsharaMadawa"), // 用户名
    new Claim(ClaimTypes.Email, "ishara@example.com"), // 邮箱
    new Claim("user_role", "Editor"), // 自定义角色字段
    new Claim("employee_id", "EMP-12345") // 自定义员工ID
};

// 签名密钥（生产环境一定要用安全的密钥，比如从配置文件读取，别硬编码！）
var securityKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your_strong_secret_key_here"));
var signingCredentials = new SigningCredentials(securityKey, SecurityAlgorithms.HmacSha256);

// 创建JWT令牌
var jwtToken = new JwtSecurityToken(
    issuer: "your_app_name", // 发行方
    audience: "your_client_app", // 受众
    claims: claims,
    expires: DateTime.UtcNow.AddHours(2), // 过期时间
    signingCredentials: signingCredentials
);

// 生成最终的Bearer Token字符串
var bearerToken = new JwtSecurityTokenHandler().WriteToken(jwtToken);

从Bearer Token中读取自定义信息 #

有两种方式：一种是通过已经解析好的ClaimsPrincipal读取（和第一个问题的方式一样），另一种是直接解析Token字符串：

// 方式1：从ClaimsPrincipal读取（推荐，因为框架已经帮你解析好了）
ClaimsPrincipal principal = Request.GetRequestContext().Principal as ClaimsPrincipal;
var employeeId = principal.FindFirst("employee_id")?.Value;

// 方式2：手动解析Token字符串（如果需要单独处理Token的话）
var tokenHandler = new JwtSecurityTokenHandler();
var jwtToken = tokenHandler.ReadJwtToken(bearerTokenString);

// 获取自定义字段
var userRole = jwtToken.Claims.FirstOrDefault(c => c.Type == "user_role")?.Value;
var employeeIdFromToken = jwtToken.Claims.FirstOrDefault(c => c.Type == "employee_id")?.Value;

⚠️ 注意：JWT的Payload是Base64编码的，不是加密的！所以不要把敏感信息（比如密码、银行卡号）存在里面，任何人都可以解码查看。敏感信息应该存在后端数据库，Token里只存用来标识用户或获取信息的非敏感字段。

内容的提问来源于stack exchange，提问作者Ishara Madawa