C#, сессии, JWT token?

Question

[Сергей]

Написал небольшой веб-сервис на C# .NET. Собственно он получает запросы - отдает ответы, все норм.
Но теперь возникла необходимость в авторизации. Есть ли какой-то стандартный механизм управления сессиями подключенных клиентов?
Я думал построить авторизацию на JWT токенах, а токены хранить в базе.

Comments

[Петр]

Токены хранить не нужно. Все нужно уже прописано в токене, тот же User Id

Answer 1

[Nik Faraday]

Изучите более подробно об JWT токенах и IndentityServer'е, тогда у вас не будет желания хранить их в базе) Но сможете использовать это всё для аутентификации и авторизации. Так же советую посмотреть об OAuth/OAuth2.0 и OpenId Connect

Если что-то более простое, тогда делайте просто на куках как под mvc:
Use cookie authentication without ASP.NET Core Identity
ASP.NET Core - Write a Simple Cookie Authentication

Answer 2

[calculator212]

Я думал построить авторизацию на JWT токенах, а токены хранить в базе.

В целом сейчас это популярный способ для аутентификации, только особенность в том, что хранить токены в базе - это противоречие самой концепции JWT(но многие все равно так делают), т.к. эти токены должны проверяться только сервером на валидность без обращения к БД. Плюс jwt довольно легко неправильно сконфигурировать, в общем если у вас по сути монолитный проект, то jwt не особо и нужен и вполне все можно сделать на куках. Но если хотите использовать jwt, то стоит прочитать про access и refresh токены, какую инфу не стоит хранить в токене и какие алгоритмы выбрать для настройки.

Comments

[Сергей]

Хранение токенов (ну или что-то в этом роде) я планировал использовать чтобы видеть сколько и какие пользователи сейчас онлайн

[calculator212]

использовать чтобы видеть сколько и какие пользователи сейчас онлайн

в целом наверное такую информацию можно хранить в JWT, но обычных сессий вполне хватит. В c# вроде же есть стандартные механизмы для этого

[Сергей]

calculator212, В PHP с этим не возникло бы вопросов, а C# только начинаю использовать

[Andrei SunnyPh]

Сергей, Вот это видео о токенах доступа и токенах обновления, в других видео с этого плейлиста, рассказывается как это реализовано в .NET