ASP.NET Core 7中SignalR Hub的客户端证书与混合客户端配置问题

问题1：浏览器端Blazor WASM能否通过代码提供客户端证书？ #

不行。浏览器的安全模型限制了JS/WASM代码直接访问系统或浏览器的证书存储，无法通过代码自动注入或选择客户端证书。只有当服务器明确要求客户端证书时，浏览器才会弹出系统证书选择对话框，由用户手动选择已安装的证书。而PWA作为浏览器衍生的应用，同样受限于这一机制，无法绕过用户交互自动提供证书——且你提到无法安装客户端证书，所以WASM客户端基本无法提供证书。

问题2：服务器端配置区分Hub的证书要求 #

由于你只能修改web.config和Kestrel配置，可通过路径区分+授权策略实现：

1. 配置IIS转发客户端证书（web.config） #

修改web.config，让IIS接收客户端证书并转发给Kestrel：

<configuration>
  <system.webServer>
    <security>
      <!-- 允许IIS请求客户端证书，但不强制 -->
      <access sslFlags="Ssl, SslNegotiateCert" />
    </security>
    <aspNetCore processPath="dotnet" arguments=".\YourApp.dll" hostingModel="inprocess">
      <environmentVariables>
        <!-- 启用证书转发 -->
        <environmentVariable name="ASPNETCORE_CLIENTCERTIFICATE_FORWARDING_ENABLED" value="true" />
      </environmentVariables>
    </aspNetCore>
  </system.webServer>
</configuration>

2. Kestrel基础配置（appsettings.json） #

设置Kestrel接受客户端证书，但不全局强制：

"Kestrel": {
  "Endpoints": {
    "Https": {
      "Url": "https://*:443",
      "Certificate": {
        "Path": "path/to/your/server-cert.pfx",
        "Password": "cert-password"
      },
      "ClientCertificateMode": "AllowCertificate",
      "ClientCertificateValidation": "None"
    }
  },
  "ClientCertificate": {
    "Validation": {
      "Enabled": true,
      "RevocationMode": "NoCheck"
    },
    "Forwarding": {
      "Enabled": true
    }
  }
}

3. 认证与授权策略（Program.cs） #

分别配置证书认证、JWT认证，并为两个Hub绑定不同的授权策略：

// 添加认证服务
builder.Services.AddAuthentication()
    // JWT认证配置（面向Blazor WASM）
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:SecretKey"])),
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Audience"]
        };
        // SignalR的JWT token提取逻辑
        options.Events = new JwtBearerEvents
        {
            OnMessageReceived = context =>
            {
                var accessToken = context.Request.Query["access_token"];
                if (!string.IsNullOrEmpty(accessToken) && context.Request.Path.StartsWithSegments("/jwt-hub"))
                {
                    context.Token = accessToken;
                }
                return Task.CompletedTask;
            }
        };
    })
    // 客户端证书认证配置（面向.NET客户端，无需用户映射）
    .AddCertificate(options =>
    {
        options.AllowedCertificateTypes = CertificateTypes.All;
        options.ValidateCertificateUse = false; // 跳过证书用途验证
        options.ValidateValidityPeriod = true;
        // 自定义验证逻辑：只要证书有效即可，无需映射到用户
        options.Events = new CertificateAuthenticationEvents
        {
            OnCertificateValidated = context =>
            {
                // 可添加CA信任验证，比如检查证书颁发者是否在信任列表
                context.Success();
                return Task.CompletedTask;
            }
        };
    });

// 添加授权策略
builder.Services.AddAuthorization(options =>
{
    // 强制客户端证书的策略
    options.AddPolicy("RequireClientCert", policy =>
    {
        policy.AddAuthenticationSchemes(CertificateAuthenticationDefaults.AuthenticationScheme);
        policy.RequireAuthenticatedUser();
    });
    // 允许JWT或可选证书的策略
    options.AddPolicy("JwtOrOptionalCert", policy =>
    {
        policy.AuthenticationSchemes.Add(JwtBearerDefaults.AuthenticationScheme);
        policy.AuthenticationSchemes.Add(CertificateAuthenticationDefaults.AuthenticationScheme);
        policy.RequireAuthenticatedUser();
    });
});

// 配置Hub端点
app.MapHub<CertificateRequiredHub>("/cert-hub")
   .RequireAuthorization("RequireClientCert");

app.MapHub<JwtAllowedHub>("/jwt-hub")
   .RequireAuthorization("JwtOrOptionalCert");

问题3：仅在指定Hub验证客户端证书 #

上述配置已实现这一需求：

• 对于/cert-hub，绑定的RequireClientCert策略仅接受证书认证，未提供有效证书的请求会被授权策略拦截，从而实现仅该Hub强制验证客户端证书。
• 对于/jwt-hub，绑定的JwtOrOptionalCert策略允许JWT认证通过，即使客户端未提供证书也不会触发证书验证逻辑——只有当客户端主动提供证书时，才会执行证书认证的验证步骤。

内容的提问来源于stack exchange，提问作者ZorgoZ