忽略JWT Bearer令牌签名（即不验证令牌）

Question

我有一个位于API网关后面的API。在将请求传递到API之前，API网关会验证承载令牌。我的API使用asp.net core 2.0本机身份验证和基于声明的授权框架。从JWT令牌获取声明的艰巨工作是由中间件进行的Microsoft.AspNetCore.Authentication.JwtBearer。可以将该中间件配置为忽略令牌上的到期日期，并且还可以指定本地公共密钥，这样就不必联系令牌颁发机构来获取它，而是可以仅禁用令牌验证。令牌？这将允许将未签名的令牌用于开发中的临时测试，并防止生产中的双重验证（网关和API）。

Answer 1

我能够清理一下代码，表明我们可以更改标志，并且在设置标志时具有更多的一致性。

services.AddAuthentication(o =>

{

    o.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;

    o.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;

})

    .AddJwtBearer(o =>

    {

        o.RequireHttpsMetadata = false;

        o.SaveToken = true;

        o.TokenValidationParameters = new TokenValidationParameters

        {

            ValidateIssuer = false,

            ValidateAudience = false,

            ValidateIssuerSigningKey = false,

            ValidateLifetime = false,

            RequireExpirationTime = false,

            RequireSignedTokens = false

        };

    });