iframe中Angular10调用.NET Core SignalR非授权Hub无法识别认证状态

首先得点出这个问题的核心原因：当你的Hub没有添加[Authorize]特性时，ASP.NET Core的认证中间件不会自动触发认证流程——只有当存在授权要求时，中间件才会去验证令牌并填充HttpContext.User。这就解释了为什么加了[Authorize]能识别登录状态，去掉就不行；而iframe外可能因为其他请求触发过认证，或者上下文逻辑不同，所以能正常识别。

另外你提到的OnRetrieveToken逻辑没被无授权Hub触发，也是因为认证中间件根本没被激活，自然不会执行这个事件。

下面是几个不需要给Hub加[Authorize]就能解决问题的方案：

方案1：在无授权Hub的连接事件中手动触发认证 #

重写Hub的OnConnectedAsync方法，手动提取令牌并完成认证流程，这样不管有没有授权特性，都能填充用户身份：

public class PublicHub : Hub
{
    private readonly IAuthenticationService _authenticationService;

    public PublicHub(IAuthenticationService authenticationService)
    {
        _authenticationService = authenticationService;
    }

    public override async Task OnConnectedAsync()
    {
        // 从查询字符串或请求头获取令牌（兼容SignalR的两种传递方式）
        var httpContext = Context.GetHttpContext();
        var accessToken = httpContext.Request.Query["access_token"].FirstOrDefault() 
                          ?? httpContext.Request.Headers["Authorization"].ToString().Replace("Bearer ", "");

        if (!string.IsNullOrEmpty(accessToken))
        {
            // 强制执行Bearer认证
            await _authenticationService.AuthenticateAsync(httpContext, "Bearer");
        }

        // 执行原本的连接逻辑
        await base.OnConnectedAsync();
    }
}

方案2：修改OAuthValidation配置，全局触发/hubs路径的认证 #

调整你的认证配置，让它不再依赖[Authorize]特性，而是对所有/hubs路径的请求都执行令牌提取和认证：

.AddOAuthValidation(options =>
{
    options.Events = new OAuthValidationEvents
    {
        OnRetrieveToken = context =>
        {
            var accessToken = context.Request.Query["access_token"];
            var path = context.HttpContext.Request.Path;

            if (!string.IsNullOrEmpty(accessToken) && path.StartsWithSegments("/hubs"))
            {
                context.Token = accessToken;
            }
            return Task.CompletedTask;
        }
    };

    // 关键：指定认证Scheme，确保无授权要求时也执行认证
    options.AuthenticationScheme = "Bearer";
})
// 补充JWT配置（如果用的是JWT Bearer认证）
.AddAuthentication("Bearer")
.AddJwtBearer(options =>
{
    // 这里填你的JWT配置，比如Authority、Audience等
    options.Authority = "your-auth-server-url";
    options.Audience = "your-api-resource";
});

同时要确保在Configure方法中，UseAuthentication在UseSignalR之前执行：

app.UseAuthentication();
app.UseSignalR(routes =>
{
    routes.MapHub<PublicHub>("/hubs/public");
    // 其他Hub路由
});

方案3：用自定义Hub过滤器实现自动认证 #

创建一个Hub过滤器，在连接建立或方法调用时自动执行认证，然后按需应用到目标Hub上，这种方式更灵活：

public class AutoAuthenticateHubFilter : IHubFilter
{
    private readonly IAuthenticationService _authenticationService;

    public AutoAuthenticateHubFilter(IAuthenticationService authenticationService)
    {
        _authenticationService = authenticationService;
    }

    public async ValueTask<object> InvokeMethodAsync(HubInvocationContext invocationContext, Func<HubInvocationContext, ValueTask<object>> next)
    {
        await TryAuthenticate(invocationContext.Context);
        return await next(invocationContext);
    }

    public async Task OnConnectedAsync(HubLifetimeContext context, Func<HubLifetimeContext, Task> next)
    {
        await TryAuthenticate(context.Context);
        await next(context);
    }

    public async Task OnDisconnectedAsync(HubLifetimeContext context, Exception exception, Func<HubLifetimeContext, Exception, Task> next)
    {
        await next(context, exception);
    }

    private async Task TryAuthenticate(HubCallerContext hubContext)
    {
        var httpContext = hubContext.GetHttpContext();
        var accessToken = httpContext.Request.Query["access_token"].FirstOrDefault() 
                          ?? httpContext.Request.Headers["Authorization"].ToString().Replace("Bearer ", "");

        if (!string.IsNullOrEmpty(accessToken))
        {
            await _authenticationService.AuthenticateAsync(httpContext, "Bearer");
        }
    }
}

然后在Startup中注册并应用这个过滤器：

// 注册过滤器
services.AddSingleton<AutoAuthenticateHubFilter>();

// 给指定Hub添加过滤器
services.AddSignalR()
    .AddHubOptions<PublicHub>(options =>
    {
        options.AddFilter<AutoAuthenticateHubFilter>();
    });

// 或者全局应用到所有Hub（可选）
// services.AddSignalR(options =>
// {
//     options.AddFilter<AutoAuthenticateHubFilter>();
// });

额外检查点 #

• 再确认客户端连接无授权Hub时确实发送了令牌：从你的描述看请求里已经带了，但可以再验证accessTokenFactory是否正确返回了令牌值。
• 检查iframe的安全配置：比如是否有X-Frame-Options或CSP限制，但其他Hub正常的话这部分可能性很低，若有跨域确保CORS配置允许携带令牌。

内容的提问来源于stack exchange，提问作者Jared Germano