C#中WebSocket端点的认证与客户端状态维护问题咨询

1. WebSocket 认证的处理方式及握手后验证 #

WebSocket 连接基于 HTTP 握手建立，所以握手阶段完全可以复用你现有 HTTP 端点的认证机制——不管是 JWT、Cookie 还是 ApiKey，直接在握手请求的 Header 里传递，服务器按现有 HTTP 认证逻辑校验即可，不需要特意换一套方案。

握手完成后，后续消息是基于已建立的 TCP 长连接传输，没有 HTTP 请求上下文，因此不需要对每条消息重新做完整认证。但可以做轻量校验：

• 若用 JWT，握手时解析并缓存用户信息到连接上下文，后续只需验证连接是否处于活跃状态，无需重复解析 JWT；
• 极端场景下（如担心连接被劫持），可以在后续消息中加入短时效签名（比如基于连接 ID 和时间戳的哈希），但大部分业务场景中，一次握手认证就足够。

2. 服务器端的客户端状态维护 #

必须维护客户端状态，否则无法关联连接与用户身份、无法做定向消息推送或权限校验。C# 中常用实现方案：

• 利用 HttpContext 存储：在 ASP.NET Core 中，每个 WebSocket 连接会关联一个 HttpContext，握手通过后可将用户 ID、身份信息存入 HttpContext.Items，后续直接从上下文读取即可；
• 全局线程安全连接字典：用 ConcurrentDictionary<string, WebSocket>，键设为用户 ID 或连接唯一标识，握手成功时添加连接，断开时移除。示例代码：

public static class ConnectionManager
{
    private static readonly ConcurrentDictionary<string, WebSocket> _activeConnections = new();

    public static void AddConnection(string connectionId, WebSocket socket)
    {
        _activeConnections.TryAdd(connectionId, socket);
    }

    public static WebSocket GetConnection(string connectionId)
    {
        _activeConnections.TryGetValue(connectionId, out var socket);
        return socket;
    }

    public static void RemoveConnection(string connectionId)
    {
        _activeConnections.TryRemove(connectionId, out _);
    }
}

• 单例状态服务：封装一个 ConnectionManager 单例服务（通过依赖注入注册），内部用线程安全集合管理连接，业务代码注入该服务即可操作连接；
• 使用 SignalR：如果是 ASP.NET Core 项目，SignalR 是封装完善的 WebSocket 框架，自带连接管理、用户映射功能，直接通过 Hub 的 Clients.User(userId) 就能给指定用户发消息，无需手动维护连接字典，适合快速开发。

内容的提问来源于stack exchange，提问作者twarzo