Nexttag.Auth.Jwt 1.1.2

Nexttag.Auth.Jwt

Emissor de token local: gera e valida o seu próprio JWT (HMAC-SHA256), lê cookie HttpOnly e expõe ICurrentUserProvider. É o dono do contrato IJwtService (emissão). Diferente dos provedores externos (Auth.Keycloak/Auth.NextAuth), que só validam tokens deles.

Instalar

dotnet add package Nexttag.Auth.Jwt

Requer .NET 10.

Registrar (Program.cs)

builder.Services.AddNexttagJwtAuth(builder.Configuration);

// ...

app.UseAuthentication();
app.UseAuthorization();

Registra automaticamente:

• IJwtService → JwtService (scoped)
• ICurrentUserProvider → CurrentUserProvider (scoped)
• IHttpContextAccessor
• AddAuthentication(JwtBearer) + AddAuthorization()

Configurar

{
  "Jwt": {
    "Key": "<chave-secreta-minimo-32-chars>",
    "Issuer": "https://api.seudominio.com.br",
    "Audience": "meu-app",
    "ExpirationMinutes": "480",
    "CookieName": "meu_app_token"
  }
}

O token é aceito tanto via header Authorization: Bearer <token> quanto via cookie HttpOnly com o nome configurado.

Usar

Gerar token (login)

public class AuthController(IJwtService jwt) : ControllerBase
{
    [HttpPost("login")]
    public IActionResult Login(LoginDto dto)
    {
        // valide credenciais aqui...
        var token = jwt.GerarToken(user.Id, user.Email, user.Nome,
            new Dictionary<string, string> { [ClaimTypes.Role] = "admin" });

        // opção A: retornar no body
        return Ok(new { token });

        // opção B: gravar em cookie HttpOnly
        Response.Cookies.Append("meu_app_token", token, new CookieOptions
        {
            HttpOnly = true, Secure = true, SameSite = SameSiteMode.Strict,
            Expires = DateTimeOffset.UtcNow.AddMinutes(480),
        });
        return Ok();
    }
}

Proteger endpoint

[Authorize]
[HttpGet("perfil")]
public IActionResult Perfil([FromServices] ICurrentUserProvider usuario)
    => Ok(new { usuario.UsuarioId, usuario.Nome, usuario.Email });

Ler claims customizadas

var tenantId = usuario.GetClaim("tenantId");

Receitas

Login completo com cookie + role:

var token = jwt.GerarToken(user.Id, user.Email!, user.Nome,
    new Dictionary<string, string> { [ClaimTypes.Role] = user.Perfil });
Response.Cookies.Append("meu_app_token", token, new CookieOptions { HttpOnly = true, Secure = true });
return Ok(new { userId = user.Id, nome = user.Nome });

Endpoint somente para admins:

[Authorize(Roles = "admin")]
[HttpDelete("{id}")]
public async Task<IActionResult> Excluir(Guid id) { ... }

Renovar token (slide session):

// Reemita um token novo a partir do usuário autenticado
var novo = jwt.GerarToken(usuario.UsuarioId!.Value, usuario.Email!, usuario.Nome!);

Notas

• Jwt:Key deve ter no mínimo 32 caracteres (256 bits); chaves menores causam erro em runtime.
• ClockSkew é TimeSpan.Zero — tokens são inválidos imediatamente após a expiração.
• Para aceitar tokens do Keycloak/NextAuth além dos locais, adicione AddKeycloakValidation ou AddNextAuthValidation depois de AddNexttagJwtAuth.
• Nunca commite Jwt:Key em repositório — use dotnet user-secrets em dev e variável de ambiente em produção.