类库项目中SignalR Hub Context为空，跨服务器调用认证咨询

一、统一身份认证体系（优先推荐） #

• 用ASP.NET Core Identity或者OpenID Connect（OIDC）搭建共享身份服务，两个Blazor Server应用都对接这个统一身份源。
• 给两个应用配置相同的认证中间件，确保它们使用一致的认证Cookie或JWT令牌，用户在任一应用完成认证后，跨应用访问SignalR Hub时，Context.User就能正常获取到身份信息。
• 示例配置（Program.cs）：

  builder.Services.AddAuthentication(options =>
  {
      options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
      options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
  })
  .AddCookie()
  .AddOpenIdConnect(options =>
  {
      options.Authority = "https://统一身份服务地址";
      options.ClientId = "应用客户端ID";
      options.ClientSecret = "应用客户端密钥";
      options.ResponseType = "code";
      options.SaveTokens = true;
  });
  

二、JWT令牌认证SignalR连接（轻量化方案） #

如果不想搭建统一身份体系，可以给SignalR连接携带JWT令牌，在Hub端验证令牌有效性：

1. 发起连接的Blazor组件中，获取当前用户的JWT令牌，连接时将其添加到请求头：

   var token = await _accessTokenProvider.RequestAccessToken();
   var hubConnection = new HubConnectionBuilder()
       .WithUrl("https://目标应用Hub地址", options =>
       {
           options.AccessTokenProvider = () => Task.FromResult(token.Value?.Token);
       })
       .Build();
   

2. 目标应用的Program.cs中配置JWT认证：

   builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
       .AddJwtBearer(options =>
       {
           options.TokenValidationParameters = new TokenValidationParameters
           {
               ValidateIssuer = true,
               ValidateAudience = true,
               ValidateLifetime = true,
               ValidateIssuerSigningKey = true,
               ValidIssuer = "令牌签发者（比如源应用地址）",
               ValidAudience = "目标应用标识",
               IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("共享的密钥"))
           };
           // 适配SignalR的JWT验证逻辑
           options.Events = new JwtBearerEvents
           {
               OnMessageReceived = context =>
               {
                   var accessToken = context.Request.Query["access_token"];
                   var path = context.HttpContext.Request.Path;
                   if (!string.IsNullOrEmpty(accessToken) && path.StartsWithSegments("/hubs"))
                   {
                       context.Token = accessToken;
                   }
                   return Task.CompletedTask;
               }
           };
       });
   

3. 在Hub类上添加[Authorize]特性，确保只有认证用户能连接，此时Context.User就能获取到令牌中的Claims信息。

三、SignalR连接安全加固 #

• 强制使用HTTPS：所有SignalR连接必须走HTTPS，防止身份信息被明文传输。
• 严格配置CORS策略：目标应用仅允许信任的源应用域名访问Hub，避免非法跨域请求：

  builder.Services.AddCors(options =>
  {
      options.AddPolicy("SignalRCors", policy =>
      {
          policy.WithOrigins("https://信任的源应用域名")
                .AllowAnyHeader()
                .AllowAnyMethod()
                .AllowCredentials();
      });
  });
  app.UseCors("SignalRCors");
  

• 验证连接来源：在Hub的OnConnectedAsync方法中检查请求来源，拒绝未授权的连接：

  public override async Task OnConnectedAsync()
  {
      var origin = Context.GetHttpContext()?.Request.Headers["Origin"].FirstOrDefault();
      if (!IsValidOrigin(origin))
      {
          await Context.AbortAsync();
          return;
      }
      await base.OnConnectedAsync();
  }
  
  private bool IsValidOrigin(string origin)
  {
      return origin == "https://信任的源应用域名";
  }
  

• 使用短生命周期令牌：JWT设置较短的过期时间，配合刷新令牌机制，降低令牌泄露后的风险。

内容的提问来源于stack exchange，提问作者BlazorStudio