在现代Web开发中，传统的基于Session的身份认证方式逐渐被无状态的Token机制所取代，而JWT（JSON Web Token）因其轻量、自包含和跨平台特性，成为构建RESTful API时最常用的安全方案之一。特别是在C#开发的ASP.NET Core Web API项目中，集成JWT认证已成为标准实践。

JWT本质上是一个经过加密签名的字符串，由三部分组成：Header（头部）、Payload（载荷）和Signature（签名）。Header说明使用的算法，Payload携带用户信息（如用户名、角色、过期时间等），Signature则用于验证Token的完整性和来源可靠性。由于其结构紧凑且可被Base64编码，JWT非常适合在HTTP请求头中通过Authorization字段传输。

在C#的ASP.NET Core环境中，实现JWT认证主要依赖于Microsoft.AspNetCore.Authentication.JwtBearer包。首先需要在项目中通过NuGet安装该包，并在Program.cs（或Startup.cs，取决于版本）中进行服务注册和中间件配置。

我们从一个简单的场景开始：用户登录后，服务器生成JWT并返回给客户端；后续每次请求，客户端需在请求头中携带该Token，服务器自动验证其有效性。

首先，在appsettings.json中配置JWT相关参数：

json "JwtSettings": { "SecretKey": "your-super-secret-key-that-should-be-long-and-random", "Issuer": "your-api-site.com", "Audience": "your-client-app.com", "ExpiryMinutes": 30 }

接着，在Program.cs中注入认证服务：

csharp
builder.Services.Configure(builder.Configuration.GetSection("JwtSettings"));
var jwtSettings = builder.Configuration.GetSection("JwtSettings").Get();

builder.Services.AddAuthentication(options =>
{
options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(options =>
{
options.TokenValidationParameters = new TokenValidationParameters
{
ValidateIssuer = true,
ValidateAudience = true,
ValidateLifetime = true,
ValidateIssuerSigningKey = true,
ValidIssuer = jwtSettings.Issuer,
ValidAudience = jwtSettings.Audience,
IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(jwtSettings.SecretKey))
};
});

同时，别忘了启用认证中间件：

csharp app.UseAuthentication(); app.UseAuthorization();

接下来是生成Token的逻辑。通常在用户登录成功后调用：

csharp
private string GenerateJwtToken(string userId, string role)
{
var claims = new[]
{
new Claim(JwtRegisteredClaimNames.Sub, userId),
new Claim(ClaimTypes.Role, role),
new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
};

var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_jwtSettings.SecretKey));
var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

var token = new JwtSecurityToken(
    issuer: _jwtSettings.Issuer,
    audience: _jwtSettings.Audience,
    claims: claims,
    expires: DateTime.Now.AddMinutes(_jwtSettings.ExpiryMinutes),
    signingCredentials: creds);

return new JwtSecurityTokenHandler().WriteToken(token);

}

一旦Token生成并返回给前端，后续所有受保护的API接口只需添加[Authorize]特性即可自动触发验证流程。例如：

csharp [ApiController] [Route("api/[controller]")] public class DashboardController : ControllerBase { [HttpGet] [Authorize] public IActionResult GetUserData() { var userId = User.FindFirstValue(ClaimTypes.NameIdentifier); return Ok(new { Message = "Access granted", UserId = userId }); } }

此时，当请求到达该接口时，ASP.NET Core会自动解析Authorization头中的Bearer Token，验证签名、过期时间等信息，并将用户声明填充到HttpContext.User中，供控制器代码读取。

值得注意的是，JWT虽然方便，但也存在一些安全考量。例如，无法主动使Token失效（除非引入黑名单机制），因此应合理设置较短的过期时间，并结合刷新Token策略提升安全性。

综上所述，C#中的JWT认证通过标准化的中间件和灵活的配置，为Web API提供了高效、可扩展的身份验证方案。掌握其核心原理和实现步骤，是构建现代安全API服务的关键能力。