Blazor Server集成Azure SignalR Hub授权异常问题求助

问题原因 #

Blazor Server中，你手动创建的HubConnection是独立于Blazor内置SignalR连接的。默认情况下，这个客户端连接不会自动携带当前已登录用户的Cookie身份信息。当Hub移除[AllowAnonymous]启用授权后，服务器处理/coaching/negotiate请求时发现请求未携带有效身份凭证，就会触发Azure AD的重新认证流程，跳转到login.microsoftonline.com获取令牌。

而添加[AllowAnonymous]时，Hub允许匿名连接，但服务器端的Context.User继承了Blazor应用的服务器会话用户身份（Hub与Blazor同属一个应用，会话共享），所以能正常拿到用户名。

解决方案 #

1. 配置HubConnection传递用户身份 #

在创建HubConnection时，通过WithUrl的配置选项，让连接携带当前用户的Cookie凭证：

_hubConnection = new HubConnectionBuilder()
    .WithUrl(_hubUrl, options =>
    {
        // 浏览器环境下自动包含当前域的Cookie凭证
        options.Credentials = Microsoft.AspNetCore.Http.CredentialMode.Include;
    })
    .Build();

2. 完善服务器端授权配置 #

• 在BlazorChatHub类上添加[Authorize]特性（移除[AllowAnonymous]后）：

[Authorize]
public class BlazorChatHub : Hub
{
    // ... 原有代码
}

• 确保SignalR的Hub路由应用授权策略（若全局未配置授权）：

app.MapHub<BlazorChatHub>(BlazorChatHub.HubUrl).RequireAuthorization();

3. 校验认证中间件顺序 #

确保认证中间件在路由之后、端点之前配置，保证SignalR请求能被正确认证：

app.UseRouting();
app.UseAuthentication();
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    endpoints.MapBlazorHub();
    endpoints.MapHub<BlazorChatHub>(BlazorChatHub.HubUrl);
    endpoints.MapFallbackToPage("/_Host");
});

补充说明 #

完成上述配置后，客户端HubConnection发起连接时会自动携带当前用户的Cookie，服务器可直接识别已登录身份，无需触发Azure AD重新认证，同时Hub的授权校验也能正常通过。

内容的提问来源于stack exchange，提问作者jassent