ASP.NET Core Web API与Azure SignalR服务的认证安全问题咨询

AI 小北

2026-7-11

问题解答

关于模板自带控制器的处理

直接删除模板自带的控制器是更干净的方案。你的API本来就不需要控制器功能，留着反而多了一个潜在攻击面。加[Authorize]虽然能限制接口访问，但不如直接删除彻底，避免后续因路由配置疏忽带来暴露风险。
要是暂时不想删除，给控制器加[Authorize]确实能让这些接口只对授权用户开放，但前提是你已经正确配置了IWA认证管道，确保授权逻辑能正常运行。不过既然用不上控制器，删掉才是最省心的选择。

关于SignalR Hub的未授权防护

必须做防护。哪怕你删了控制器，SignalR Hub的连接端点依然对外暴露，任何人都能尝试发起连接。结合你的WinForms客户端用IWA认证的场景，建议这么做：

在Hub类上添加[Authorize]特性，确保只有通过IWA认证的用户才能建立连接。
还可以在Hub的具体方法上添加[Authorize]，或者在方法内部校验用户的Claims信息，进一步限制合法用户才能调用Hub方法。
要确保ASP.NET Core项目正确配置了Windows身份验证，在Program.cs里启用相关中间件，示例代码如下：

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
   .AddNegotiate();

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

app.UseAuthentication();
app.UseAuthorization();

这样整个应用（包括SignalR Hub）都会强制要求用户认证，从根源上拦截未授权访问。