我正在创建一个具有不同角色的用户的 Web API，此外，作为任何其他应用程序，我不希望用户 A 访问用户 B 的资源。像下面这样：

订单/1（用户A）

订单/2（用户B）

当然，我可以从请求中获取 JWT 并查询数据库以检查该用户是否拥有该订单，但这会使我的控制器操作变得过于繁重。

此示例使用 AuthorizeAttribute 但它似乎太宽泛了，我必须为 API 中的所有路由添加大量条件以检查正在访问哪个路由，然后查询数据库进行多个连接，返回到用户表以返回如果请求是否有效。

更新

对于路由，第一道防线是需要特定声明的安全策略。

我的问题是关于负责确保用户只能访问他们的数据/资源的第二道防线。

在这种情况下是否有任何标准方法要采取？

我创建了一个使用令牌JWT与基于角色的策略（基于权限的网页API 此文章）。用户登录会生成一个用于授权的令牌。我成功生成了令牌，但是当我开始使用它访问受限制的 API 操作时，它不起作用并不断给我 401 HTTP 错误（考虑到操作调用不会触发，我什至无法调试）。我究竟做错了什么？。

课程：

public class Startup
{
    public Startup(IConfiguration configuration)
    {
        Configuration = configuration;
    }

    public IConfiguration Configuration { get; }

    // This method gets called by the runtime. Use this method to add services to the container.
    public void ConfigureServices(IServiceCollection services)
    {
        services.AddControllers();
        services.AddScoped<ICountriesService, CountriesService>();
        services.AddScoped<ICompanyService, CompanyService>();
        services.AddScoped<IPlaneServices, PlaneService>();
        services.AddScoped<IPlaneTypeService, PlaneTypeService>();
        services.AddScoped<ICitiesService, CitiesService>();
        services.AddScoped<IAirfieldService, AirfieldService>();
        services.AddScoped<ITicketTypeService, TicketTypeService>();
        services.AddScoped<IFlightService, FlightService>();
        services.AddScoped<ILuxuryService, LuxuryService>();
        services.AddScoped<IUserService, UserService>();

        // Register the Swagger generator, defining 1 or more Swagger …

目前正在关注有关如何实现 OAuth JWT 身份验证的本教程。目前卡在两件事情上，这已经变得有点难以解决。

1. 下面的代码抛出“定义”和“命名空间”错误。

app.UseJwtBearerAuthentication(
                new JwtBearerAuthenticationOptions
                {
                    AuthenticationMode = AuthenticationMode.Active,
                    AllowedAudiences = new[] { audienceId },
                    IssuerSecurityTokenProviders = new IIssuerSecurityTokenProvider[]
                    {
                        new SymmetricKeyIssuerSecurityTokenProvider(issuer, audienceSecret)
                    }
                });

如下图所示是错误：

不知道为什么我会收到此错误，因为所有必需的软件包都已安装。在另一个 IssuerSecurityKeyProviders 上存在，如果我选择使用这个或运行带有错误的构建，它将生成令牌但是当我尝试访问 api 上的任何授权端点时，我收到可怕的“消息”：“授权此请求已被拒绝。”

当我调试令牌时，所有似乎都匹配。发行人相同，受众 ID 相同，用户也确实存在于数据库中，但 changepassword 端点总是失败，如下面的屏幕截图所示。

最后但并非最不重要的一点是寻找一个很好的教程，我可以按照它来帮助我使用 JWT 和 OWIN 启动和运行 Web API 身份验证。大部分已经过时，包已经改变了多年来例如这一个，这是很难发现的答案中遇到的问题。令人沮丧的触摸

目前我们正在使用 JWT 进行身份验证，因此一旦创建令牌，它就是终身的，如果我们设置时间过期，令牌将过期。有什么办法可以使令牌过期吗？单击注销按钮时，我需要销毁令牌。asp.net 核心，web api。

我对 python 中的 FastAPI 有点陌生。我正在构建一个需要基于 JWT 令牌的授权的 API 后端框架。现在，我知道如何生成 JWT 令牌，但不确定如何将其与 Python 中快速 api 中的 API 方法集成。任何指针将不胜感激。

我正在通过jwt.io（在调试器部分）解码 JWT 令牌以查看标题、有效负载。令人惊讶的是，它还验证了，我可以看到它（jwt.io 调试器）也能够检索公钥。

所以我的问题是：JWT 令牌是否提供公钥以及 JWT 令牌的一部分？

我正在粘贴它的一部分（由于安全原因无法完全粘贴，将截断实际 JWT 令牌的一部分）

F3cy5jb21cL2V1LXdlc3QtMV9ZckVRYjY5Z1giLCJleHAiOjE2MDE2Mzg4OTMsImlhdCI6MTYwMTYzNTI5MywidmVyc2lvbiI6MiwianRpIjoiNmI2YmZiNmYtY2M0MS00N2Q5LWI0YzYtOTBmOGFmNWM2MjQ1IiwiY2xpZW50X2lkIjoiMTM0MWxxa3N1ZmUwbm1vaW9kdnRjc2t2cWIifQ.RtKfz54uBgSZ1gc4KRPjzL4dPe5AbH2YMJu-DDvIxBzgMjqT9q4ApGzcWYB62-MgDUf-F_hK0kF9eIwAi9fARhp 0HGGnyiuydW_our6zE3EphLvXQByTDY5xzOUuSvt7WbDZWeSfpHcjrBttRSJAPOsZ2gInafKjZgWKyGL4vJB9swEhOMSSpTQDGWKenJCyp4emhe8E4XGzYTo9WEb-Wqg6sI__LrusDNd917FaocPKBxA

解码消息（再次被截断）

标题

{
  "kid": "cJ0PzkBXPyjX7FM67jcOECIY=",
  "alg": "RS256"
}

有效载荷：

{
  "sub": "13lqs0moiodvtcskvqb",  
  "token_use": "access",  
  "scope": "example.com/Manage",  
  "auth_time": 1601293,  
  "iss": "https://cognito.eu.amazonaws.com/",  
  "exp": 1601638,  
  "iat": 10353,  
  "version": 2,  
  "jti": "cc1-47d9-b6-5c6245",  
  "client_id": "nmodvtcb"  
}

在那里，可以看到公钥（被截断）

-----BEGIN PUBLIC KEY-----
QEFAAOCAQ8AMIIBCxmf9bakWk
556KYmIZB+Sy1ftkkGa4qlUsmRvcG2Hll+7HBWp1ao6MVLskjdaaKg8iH1Iz4DKG
lgqT/ndwhoxvTBuvm0X2CZoNzZn4S8wDTr78m/S/YegZRhv6y58gkiKSEmbbC/g5
Bp+AF88NwBvLm1jdd
-----END PUBLIC KEY-----

jwt.io 中的调试器从哪里检索公钥？我无法理解这一点。