如何通过SignalR将Blazor Server授权传递至.NET Core？

核心问题分析 #

你的代码存在以下关键问题导致授权失效：

• JWT Bearer配置缺少Auth0必需的Authority、Audience及角色声明映射
• OnMessageReceived事件未正确匹配SignalR Hub路径，导致token未被正确提取
• Hub中错误尝试通过HttpContext获取token，SignalR应使用HubCallerContext的User属性
• 未利用认证系统自动解析角色声明进行授权验证

步骤1：完善Auth0 JWT配置 #

修改Program.cs中的AddJwtBearer配置，添加Auth0专属验证参数，并修复token提取逻辑：

builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
}).AddJwtBearer(options =>
{
    // 替换为你的Auth0域名和API标识符
    options.Authority = "https://dev-xxxxxx.us.auth0.com/";
    options.Audience = "https://your-api-audience.com";

    // 映射Auth0的角色声明（替换为你在Auth0中配置的角色命名空间）
    options.TokenValidationParameters = new TokenValidationParameters
    {
        RoleClaimType = "https://your-app-namespace/roles"
    };

    options.Events = new JwtBearerEvents
    {
        OnMessageReceived = context =>
        {
            // SignalR无法通过Header传递Authorization，从QueryString提取token
            var accessToken = context.Request.Query["access_token"];
            var path = context.HttpContext.Request.Path;

            // 匹配所有你的SignalR Hub路径
            var hubPaths = new[] { "/users", "/events", "/EventManagers", "/eventparticipantteams" };
            if (!string.IsNullOrEmpty(accessToken) && hubPaths.Any(p => path.StartsWithSegments(p, StringComparison.OrdinalIgnoreCase)))
            {
                context.Token = accessToken;
            }

            return Task.CompletedTask;
        }
    };
});

步骤2：修正Hub授权逻辑 #

不需要手动获取token，直接使用SignalR的Context.User属性获取已解析的用户信息，并用[Authorize(Roles)]标注方法：

[HubMethodName("GetAll")]
[Authorize(Roles = "admin, Superuser")] // 按需指定允许的角色
public async Task GetAll()
{
    // 直接访问当前授权用户的信息
    var currentUser = Context.User;
    var userRoles = currentUser.Claims.Where(c => c.Type == "https://your-app-namespace/roles")
                                      .Select(c => c.Value);

    var dtoItems = await _context.Set<Tmodel>()
        .IncludeVirtualProperties(new Tmodel { })
        .Select(e => e.ConvertToDto<Tmodel, TmodelDTO>())
        .ToListAsync();

    await Clients.Caller.SendAsync("ReceiveGetAll", dtoItems);
}

步骤3：验证Blazor端Token传递 #

确保Blazor端的tokenString是Auth0颁发的Access Token（不是ID Token），并在浏览器Network面板中检查SignalR握手请求的QueryString是否包含access_token参数。你的Blazor连接代码无需修改，保持现有逻辑即可：

hubConnection = new HubConnectionBuilder()
    .WithUrl("https://localhost:7277/users", options =>
    {
        options.AccessTokenProvider = () => Task.FromResult(tokenString);
    })
    .WithAutomaticReconnect()
    .Build();

步骤4：确认中间件与Hub映射顺序 #

确保Program.cs中的中间件顺序正确，Hub映射在授权中间件之后：

var app = builder.Build();

// ...其他环境配置

app.UseHttpsRedirection();

app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();

// 映射Hub（可在UseEndpoints内或单独调用）
app.UseEndpoints(endpoints =>
{
    endpoints.MapControllerRoute(
        name: "default",
        pattern: "{controller=Home}/{action=Index}/{id?}");
    endpoints.MapHub<MsSQLHub<User, UserDTO>>("/Users");
});

app.MapControllers();

app.Run();

排查要点 #

1. 用jwt.io解析token，确认包含正确的roles声明及匹配的命名空间
2. 检查后端日志，利用你已开启的EnableDetailedErrors查看授权失败的具体原因
3. 确保CORS配置允许Blazor端域名，且允许SignalR的HTTP方法（如OPTIONS、GET、POST）
4. 确认Auth0的API设置中已添加正确的权限和角色映射

内容的提问来源于stack exchange，提问作者KPiatigorskii