在開發web api的時候，由於連線通常都是stateless的，因此驗證跟授權是一個比較艱鉅的挑戰，也因此出現了不少規範來解決這個問題如OAuth等等，而JWT則是一個相對簡單但又安全方式，今天就來介紹一下如何使用JWT來處理Asp.Net WebApi的驗證。

在之前的文章中，我們已經可以在一般呼叫API的情況下將回傳的JSON格式統一，且在Exception發生時也能夠將Exception已我們想要的格式回傳，但由於Asp.Net WebApi已經先幫我們做好了找不到正確的Controller和Action時的處理，導致當呼叫不存在的API時，還是無法依照想要的JSON格式回傳，這篇文章就來解決這個問題。

在設計ASP.NET相關程式的時候，有時候我們必須在Global.asax中加入一些自訂的程式，例如希望每次Request時只會進行一次資料庫連線的建立，則可以在Application_BeginRequest中建立資料庫連線，然後在Application_EndRequest中將連線dispose掉。而在這個階段的處理若有exception時，之前的系列文章介紹的方法將無法正確處理傳回統一的JSON格式；如果有在Global.asax中做其他的處理，也希望在這裡有exception時可以用統一的方式回傳JSON結果，那們我們必須另外在Global.asax中處理這個錯誤。

在上一篇文章「統一回傳訊息格式比較完整的處理方法 (2) Action中Exception處理」中，我們增加了一個繼承自ExceptionFilterAttribute的類別讓在Action中的方法產生例外時可以用統一的格式回傳。

在上一篇文章「統一回傳訊息格式比較完整的處理方法 (1)回傳訊息統一」中，我們利用自訂ActionFilter的方法成功把所有WebApi回傳的結果包裝成一個統一的格式，接下來我們會面臨到出現錯誤時，也要依照我們自己定義的格式回傳JSON。

由於目前有一個實作Api Server的需求，是會開放給很多第三方使用的，因此需要不管任何情況(包含各種Exception)都將回傳的內容格式完全統一，以方便其他使用Api的人容易解讀內容'，研究了一整天，終於有點結論了。