ASP.NET Core 2是否支持多JWT Token签发方？含Firebase与自定义场景

当然支持！ASP.NET Core 2完全可以同时兼容多个JWT签发方（比如你的Firebase和自定义JWT服务），核心思路是为每个签发方配置独立的JWT Bearer认证方案，再通过策略方案让它们协同工作。下面是具体的实现步骤：

1. 配置多个JWT Bearer认证方案 #

在Startup.cs的ConfigureServices方法中，你可以多次调用AddJwtBearer，为每个签发方指定唯一的方案名称，并配置对应的验证参数：

using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.IdentityModel.Tokens;
using System.Text;

public void ConfigureServices(IServiceCollection services)
{
    // 配置Firebase的JWT认证方案
    services.AddAuthentication()
        .AddJwtBearer("FirebaseJwt", options =>
        {
            options.Authority = "https://securetoken.google.com/my-firebase-project";
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = true,
                ValidIssuer = "my-firebase-project",
                ValidateAudience = true,
                ValidAudience = "my-firebase-project",
                ValidateLifetime = true
            };
        })
        // 配置自定义JWT签发方的认证方案
        .AddJwtBearer("CustomJwt", options =>
        {
            options.Authority = "https://your-custom-jwt-issuer.com";
            options.TokenValidationParameters = new TokenValidationParameters
            {
                ValidateIssuer = true,
                ValidIssuer = "https://your-custom-jwt-issuer.com",
                ValidateAudience = true,
                ValidAudience = "your-api-audience",
                ValidateLifetime = true,
                // 自定义签发方如果用对称密钥，需配置签名密钥
                // IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your-secret-key"))
            };
        });
}

2. 使用策略方案统一入口（可选但推荐） #

如果你希望客户端只需要发送标准的Bearer令牌头，不需要指定具体方案，可以添加一个策略方案，让它自动根据令牌特征匹配对应的验证逻辑：

services.AddAuthentication("Bearer")
    .AddPolicyScheme("Bearer", "Bearer", options =>
    {
        options.ForwardDefaultSelector = context =>
        {
            var authorizationHeader = context.Request.Headers["Authorization"].FirstOrDefault();
            if (!string.IsNullOrEmpty(authorizationHeader) && authorizationHeader.StartsWith("Bearer "))
            {
                var token = authorizationHeader.Substring("Bearer ".Length);
                var handler = new JwtSecurityTokenHandler();
                if (handler.CanReadToken(token))
                {
                    var jwtToken = handler.ReadJwtToken(token);
                    // 根据令牌的iss字段判断使用哪个方案
                    if (jwtToken.Issuer == "https://securetoken.google.com/my-firebase-project")
                    {
                        return "FirebaseJwt";
                    }
                    else if (jwtToken.Issuer == "https://your-custom-jwt-issuer.com")
                    {
                        return "CustomJwt";
                    }
                }
            }
            // 默认优先尝试Firebase方案
            return "FirebaseJwt";
        };
    })
    // 接着添加Firebase和自定义JWT方案
    .AddJwtBearer("FirebaseJwt", options => { /* ... */ })
    .AddJwtBearer("CustomJwt", options => { /* ... */ });

这样客户端只需发送Authorization: Bearer <token>，策略方案会自动完成方案匹配和验证。

3. 应用授权 #

你可以灵活选择全局或局部的授权方式：

• 全局授权：在Configure方法中启用认证和授权中间件，结合策略方案，直接使用[Authorize]即可：

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // ...其他中间件（如日志、静态文件）
    app.UseAuthentication();
    app.UseAuthorization();
    // ...路由等中间件
}

• 局部指定多方案：如果没使用策略方案，也可以在[Authorize]中指定多个方案，只要其中一个验证通过就允许访问：

[Authorize(AuthenticationSchemes = "FirebaseJwt,CustomJwt")]
[ApiController]
[Route("api/[controller]")]
public class MyController : ControllerBase
{
    // ...你的API方法
}

关键说明 #

每个JWT Bearer方案都是独立验证自己的令牌，策略方案的作用是根据请求特征转发验证逻辑，也可以设置为同时尝试所有方案（只要有一个通过就认证成功）。这种方式完全能满足你同时兼容Firebase和自定义JWT签发方的需求。

内容的提问来源于stack exchange，提问作者Sane