ASP.NET Core面试精讲系列七
内容提要
身份验证确认用户身份，授权判断权限。ASP.NET Core Identity 提供用户管理功能，支持 JWT、角色和策略授权，声明和 Cookie 认证，外部登录和双因素认证。可自定义授权策略，确保安全性与灵活性。
关键要点
-
身份验证用于确认用户身份，授权用于判断用户权限。
-
ASP.NET Core Identity 提供用户管理功能，包括注册、登录、角色、声明、令牌与双因素认证。
-
JWT 是一种轻量级的无状态身份验证令牌格式，支持基于令牌的访问控制。
-
角色授权通过角色控制访问权限，策略授权通过自定义策略和声明实现灵活控制。
-
声明表示用户的属性或权限，增强认证系统的灵活性。
-
Cookie 认证用于传统 MVC 应用，实现基于会话的登录机制。
-
ASP.NET Core 支持通过内置提供程序集成第三方登录，如 Google、Facebook 等。
-
刷新令牌用于在 JWT 过期后获取新的访问令牌，需自行实现机制。
-
JWT 通常有效期为 5-30 分钟，过期后失效，吊销通过维护黑名单实现。
-
使用 [Authorize] 和 [AllowAnonymous] 特性保护路由，控制访问权限。
-
自定义授权策略与处理程序可实现基于业务规则的精细化授权。
-
ASP.NET Core 内置 Data Protection API 用于加密身份验证 Cookie 和保护敏感令牌。
-
多租户身份验证支持独立数据库和自定义角色与策略，结合 IdentityServer4 或 Azure AD B2C 实现联合认证。
-
ASP.NET Core Identity 默认使用 PBKDF2 进行密码哈希，建议不存储明文密码。
-
双因素认证支持多种方式，如短信、邮件和身份验证器应用，增强安全性。
延伸解读
身份验证与授权的区别
身份验证和授权是安全系统中的两个核心概念。身份验证确认用户身份，而授权则决定用户的权限。在 ASP.NET Core 中，这两者通过中间件和特性实现，开发者需明确区分，以确保系统的安全性和功能性。
JWT的优势与应用
JWT（JSON Web Token）是一种轻量级的身份验证方式，适合无状态的应用场景。它的有效期通常较短，适合快速验证用户身份。开发者在使用时需注意令牌的安全存储和过期管理，以防止潜在的安全风险。
自定义授权策略的灵活性
ASP.NET Core允许开发者创建自定义授权策略，以满足特定业务需求。这种灵活性使得开发者可以根据用户属性或业务规则进行精细化控制，提升了系统的安全性和用户体验。
双因素认证的重要性
双因素认证（2FA）显著增强了用户账户的安全性。ASP.NET Core Identity支持多种2FA方式，开发者应根据用户需求选择合适的方式，以降低账户被攻击的风险。
延伸问答
ASP.NET Core Identity 提供哪些用户管理功能？
ASP.NET Core Identity 提供注册、登录、角色管理、声明、令牌与双因素认证等用户管理功能。
JWT 是什么，它的作用是什么？
JWT（JSON Web Token）是一种轻量级的无状态身份验证令牌格式，用于基于令牌的访问控制。
如何实现基于角色的授权？
基于角色的授权通过使用 [Authorize(Roles = "角色名")] 特性来控制访问权限。
ASP.NET Core 如何支持外部登录？
ASP.NET Core 支持通过内置提供程序集成第三方登录，如 Google、Facebook 等，使用 AddAuthentication() 方法进行配置。
什么是双因素认证，它如何增强安全性？
双因素认证（2FA）通过要求用户提供额外的验证方式（如短信、邮件或身份验证器应用）来增强安全性。
如何自定义授权策略？
自定义授权策略通过定义 Requirement 和 Handler，并在服务中注册策略来实现，例如使用 AddPolicy 方法。
