No entanto, a comunidade .NET não ficou totalmente satisfeita com esta abordagem. Para atender às demandas da comunidade, a Microsoft removeu o suporte padrão para Identity Server no .NET 8 e redesenhou a arquitetura interna do ASP.NET Core Identity para ser mais adequada para SPAs e aplicativos nativos.

O .NET 8 apresenta um novo conjunto de endpoints de API de identidade e suporte para autenticação baseada em token que irei apresentar a seguir.

Manipulador Bearer Token Authentication

O primeiro alicerce desta nova infraestrutura é o novo manipulador de autenticação de token ao portador. Esse manipulador é semelhante ao manipulador clássico de autenticação de cookie que o ASP.NET Core Identity usa por padrão. O manipulador de autenticação de cookie é responsável por duas coisas:

1- Criar de um novo cookie de sessão após a autenticação do usuário;
2- Construir um objeto de usuário ClaimsPrincipal com base em um cookie de sessão válido recebido na solicitação HTTP recebida;

Da mesma forma, o manipulador de autenticação do token ao portador é responsável por:

• Criar de um novo token após a autenticação do usuário;
• Construir um objeto de usuário ClaimsPrincipal com base em um token válido recebido na solicitação HTTP recebida;

Em outras palavras, o manipulador bearer token imita o comportamento do manipulador de cookies para gerenciar sessões autenticadas com base em um token em vez de um cookie.

Cabe destacar que os tokens gerados pelo manipulador bearer token não estão no formato JWT. Além disso, eles não seguem nenhum padrão específico. Embora a documentação mencione tokens de acesso e tokens de atualização, eles não implementam a estrutura de autorização do OAuth 2.0.

Como o bearer token funciona

Vamos criar um novo projeto ASP.NET Core Web API usando o VS 2022 Preview usando o .NET 8. Vamos chamar este projeto Net8Identity onde vamos usar as minimal APIs.

Após criar o projeto vamos incluir o código abaixo na classe Program:

using Microsoft.AspNetCore.Authentication.BearerToken;
using System.Security.Claims;

var builder = WebApplication.CreateBuilder(args);

// Add services to the container.
builder.Services.AddEndpointsApiExplorer();
builder.Services.AddSwaggerGen();

builder.Services
        .AddAuthentication()
        .AddBearerToken();  

builder.Services.AddAuthorization();

var app = builder.Build();

// Configure the HTTP request pipeline.
if (app.Environment.IsDevelopment())
{
    app.UseSwagger();
    app.UseSwaggerUI();
}
app.UseHttpsRedirection();

app.MapGet("/login", (string username) =>
{
    var claimsPrincipal = new ClaimsPrincipal(
      new ClaimsIdentity(
        new[] { new Claim(ClaimTypes.Name, username) },
            BearerTokenDefaults.AuthenticationScheme  
      )
    );

    return Results.SignIn(claimsPrincipal);
});

app.MapGet("/user", (ClaimsPrincipal user) =>
{
    return Results.Ok($"Bem-Vindo {user.Identity.Name}!");
})
.RequireAuthorization();

app.Run();

Este aplicativo define dois endpoints de API:

1- O endpoint /login que cria um objeto de usuário ClaimsPrincipal com base no nome de usuário enviado na solicitação HTTP e retorna o resultado do login;

2- O endpoint /user que retorna o nome de usuário do usuário autenticado;

Observe as linhas destacadas no código,  note que temos uma referência ao novo namespace Microsoft.AspNetCore.Authentication.BearerToken, que dá acesso ao valor BearerTokenDefaults.AuthenticationScheme

Observe também que configuramos o middleware do token de acesso usando o método de extensão AddBearerToken().

Agora, suponha que você chame o endpoint de login com curl, conforme mostrado abaixo:

curl 'https://localhost:XXXX/login?username=macoratti'

Ou se preferir usar a interface do Swagger:

Você deverá obter o seguinte resultado na interface do Swagger:

A resposta JSON contém :

• um token de acesso 
• um refresh token ou token

O token de acesso será usado em cada request para acessar os endoints protegidos e o refresh token poderá ser usado caso o token de acesso expire e assim você conseguirá obter um novo token de acesso.

Por exemplo, agora você pode chamar o endpoint protegido /user da seguinte maneira usando curl: