ASP.NET Core 8中SignalR Chat Hub身份验证异常问题

问题核心 #

你的场景中，Web API授权接口正常，SignalR Hub的[Authorize]特性也能生效（说明令牌验证通过），但Context.UserIdentifier为空、Context.User?.Identity?.IsAuthenticated显示false，根源在于.NET 8新的AddBearerToken认证系统的默认配置细节，导致Hub无法正确识别用户身份的Claims信息。

分步修复方案 #

1. 设置默认认证方案

在Program.cs中，将IdentityConstants.BearerScheme设为全局默认认证方案，确保SignalR使用正确的认证逻辑：

// 修改认证服务配置
builder.Services.AddAuthentication(IdentityConstants.BearerScheme)
    .AddBearerToken(IdentityConstants.BearerScheme);

2. 显式配置BearerToken的Claims映射

确保令牌包含NameIdentifier Claim（Context.UserIdentifier默认读取该Claim），可通过配置BearerTokenOptions验证并强化Claims生成逻辑：

builder.Services.AddAuthentication(IdentityConstants.BearerScheme)
    .AddBearerToken(options =>
    {
        options.Events = new BearerTokenEvents
        {
            OnTokenValidated = context =>
            {
                // 校验NameIdentifier Claim是否存在
                var userIdClaim = context.Principal.FindFirst(ClaimTypes.NameIdentifier);
                if (userIdClaim == null)
                {
                    context.Fail("令牌缺少用户ID标识");
                }
                return Task.CompletedTask;
            }
        };
    });

3. 为Hub指定认证方案（可选但更稳妥）

在ChatHub的[Authorize]特性中明确指定认证方案，避免潜在的方案歧义：

[Authorize(AuthenticationSchemes = IdentityConstants.BearerScheme)]
public class ChatHub : Hub
{
    // 你的OnConnectedAsync、OnDisconnectedAsync方法
}

4. 校验令牌内容（排查用）

临时在OnConnectedAsync中打印所有Claims，确认NameIdentifier是否存在：

public override async Task OnConnectedAsync()
{
    // 打印所有Claims用于排查
    foreach (var claim in Context.User.Claims)
    {
        Console.WriteLine($"Claim类型: {claim.Type}, 值: {claim.Value}");
    }
    var userId = Context.UserIdentifier;
    await Clients.All.SendAsync("ReceiveSystemMessage", $"{userId ?? "未知用户"} joined.");
    await base.OnConnectedAsync();
}

5. 确保CORS允许凭据传递

SignalR请求需要携带令牌，必须在CORS策略中开启AllowCredentials：

// 配置CORS策略
builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowAngularChat", policy =>
    {
        policy.WithOrigins("http://localhost:4200") // 替换为你的Angular地址
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 必须开启此项
    });
});

// 应用CORS策略
app.UseCors("AllowAngularChat");

原理说明 #

Context.UserIdentifier默认从ClaimTypes.NameIdentifier Claim取值，而.NET 8的AddBearerToken会自动将用户主键映射到该Claim，但前提是：

• 全局默认认证方案正确设置为IdentityConstants.BearerScheme
• CORS允许携带凭据，确保令牌能被正确发送到SignalR Hub
• 令牌验证后，Claims被正确加载到Context.User中

内容的提问来源于stack exchange，提问作者Yuresh Tharushika