如何在ASP.NET Core SignalR中实现基于声明的授权？

核心背景说明 #

SignalR采用长连接模式，只有连接建立时的握手请求会完整触发ASP.NET Core中间件管道，后续的消息传输都基于已建立的连接，不会再走中间件。这就是你看到中间件只生效一次的原因。

1. 连接建立阶段：复用现有身份验证体系 #

握手阶段是标准HTTP请求，直接复用你现有的身份验证配置即可：

• 不管是JWT、Cookie还是自定义身份验证方案，只要在Program.cs中配置了对应的中间件（比如app.UseAuthentication()），握手时会自动完成身份验证和初始声明构建。
• 如果需要做声明转换，直接实现IClaimsTransformation接口并注册，这和普通ASP.NET Core项目完全一致，会在握手阶段执行。

2. 连接存续阶段：用Hub Filter替代中间件 #

后续消息的预处理逻辑，官方推荐使用Hub Filter来实现，功能等价于中间件，示例如下：

实现自定义Hub Filter

public class HubAuthFilter : IHubFilter
{
    public async ValueTask<object> InvokeMethodAsync(HubInvocationContext context, Func<HubInvocationContext, ValueTask<object>> next)
    {
        var user = context.Context.User;
        
        // 示例1：动态刷新令牌并更新用户声明
        if (IsTokenExpired(user))
        {
            var refreshedClaims = await RefreshUserClaims(user);
            var newIdentity = new ClaimsIdentity(refreshedClaims, user.Identity.AuthenticationType);
            context.Context.User = new ClaimsPrincipal(newIdentity);
        }
        
        // 示例2：细粒度方法级授权检查
        if (!await HasMethodPermission(user, context.MethodName))
        {
            throw new HubException("无访问权限");
        }
        
        return await next(context);
    }
    
    // 辅助方法：根据业务逻辑实现
    private bool IsTokenExpired(ClaimsPrincipal user) => /* 检查令牌过期逻辑 */;
    private Task<List<Claim>> RefreshUserClaims(ClaimsPrincipal user) => /* 刷新令牌并获取新声明 */;
    private Task<bool> HasMethodPermission(ClaimsPrincipal user, string methodName) => /* 权限检查逻辑 */;
}

注册Hub Filter

在Program.cs中添加：

builder.Services.AddSignalR(options =>
{
    // 全局注册，所有Hub都会生效
    options.AddFilter<HubAuthFilter>();
    
    // 也可以针对单个Hub注册：options.AddFilter<YourHub, HubAuthFilter>();
});

3. 结合[Authorize]特性实现策略授权 #

官方文档中的[Authorize]特性依然完全适用，可与Hub Filter配合使用：

• 给整个Hub或单个方法添加特性，指定授权策略：

  [Authorize(Policy = "RequireAdmin")]
  public class AdminHub : Hub
  {
      [Authorize(Policy = "CanEdit")]
      public async Task EditData(string data)
      {
          // 方法逻辑
      }
  }
  

• 授权策略的配置和普通ASP.NET Core项目一致：

  builder.Services.AddAuthorization(options =>
  {
      options.AddPolicy("RequireAdmin", p => p.RequireClaim("Role", "Admin"));
      options.AddPolicy("CanEdit", p => p.RequireClaim("Permissions", "Edit"));
  });
  

关键误区纠正 #

1. 不要尝试强行让SignalR消息走中间件，这违背了长连接的设计，Hub Filter是官方指定的替代方案。
2. IClaimsTransformation仅在握手阶段执行一次，若需连接存续期间动态更新声明，必须通过Hub Filter手动处理。
3. 身份验证的核心（如令牌合法性校验）应在握手阶段完成，Hub Filter负责后续的细粒度授权和声明更新。

内容的提问来源于stack exchange，提问作者Jonas Rembratt