.NET6 SignalR.Core对接Sign&Go IDP无法接收消息排查求助

1. 检查Token权限范围（Scope）与Claim匹配 #

• 对比IdentityServer4和Sign&Go返回的JWT Token，确认Sign&Go的Token包含SignalR Hub所需的权限声明：
  • 服务器端在Hub发送消息前，打印Context.User.Claims，查看是否缺少sub（用户唯一标识）或自定义的Hub访问Claim（比如signalr_access）。
  • 登录Sign&Go管理后台，确认客户端已分配对应SignalR Hub的Scope，且服务器端AddAuthentication配置中已正确验证这些Scope。

2. 验证用户上下文匹配逻辑 #

• SignalR基于用户推送消息时（如Clients.User(userId).SendAsync(...)），Sign&Go返回的用户标识Claim可能与IdentityServer4格式不同：
  • 在服务器端Hub的OnConnectedAsync中打印Context.UserIdentifier，客户端连接成功后打印SignalR连接的user信息，对比两种IDP下的用户标识是否一致。
  • 若不一致，在服务器端AddJwtBearer配置中，通过TokenValidationParameters.NameClaimType指定Sign&Go使用的用户标识Claim名称（比如Sign&Go可能用name而非sub）。

3. 排查CORS配置隐性限制 #

• 尽管连接成功，CORS配置可能存在隐性拦截：
  • 确认服务器端AddCors配置已启用AllowCredentials()，WithOrigins包含客户端域名，WithHeaders覆盖SignalR所需的所有请求头（可临时用WithHeaders("*")测试）。
  • 检查Angular客户端的SignalR连接是否设置了withCredentials: true。

4. 检查Token过期与刷新机制 #

• Sign&Go的Token过期时间可能更短，且客户端未自动刷新：
  • 开启服务器端Debug级别的Microsoft.AspNetCore.SignalR和Microsoft.AspNetCore.Authentication日志，排查是否存在Token验证失败的隐性错误（之前的无错误日志可能是日志级别不足）。
  • 客户端监控Token过期时间，在过期前手动刷新Token并重新连接SignalR。

5. 验证Token加密算法与解析逻辑 #

• Sign&Go可能使用与IdentityServer4不同的加密算法（如HS256而非RS256）：
  • 用JwtSecurityTokenHandler解析Sign&Go的Token，检查签名验证是否通过，Payload是否能正常读取。
  • 服务器端AddJwtBearer配置需匹配Sign&Go的算法：若为HS256，需指定TokenValidationParameters.IssuerSigningKey；若为RS256，需确保Authority配置正确，能自动获取签名密钥。

内容的提问来源于stack exchange，提问作者Yoann