如何防止单个JWT声明向SignalR Hub发起多连接[C#]

你提出的维护用户列表方案是否可行？ #

这个方案完全可行，核心逻辑清晰且易实现，但需要注意几个关键细节：

• 核心逻辑：在OnConnectedAsync中解析JWT的唯一标识（比如sub用户ID或jti令牌唯一ID），检查本地维护的活跃连接列表，若存在相同标识则拒绝新连接；在OnDisconnectedAsync中移除该标识，释放连接名额。
• 实现注意点：
  • 必须使用线程安全的集合（如ConcurrentDictionary<string, string>）存储活跃标识与连接ID的映射，避免并发连接时的竞态条件。
  • 处理异常断开场景：客户端网络中断等异常情况可能导致OnDisconnectedAsync无法触发，需添加定时清理任务，移除超时未更新的无效连接记录。
  • 分布式部署限制：如果应用是多实例集群，内存中的本地列表无法跨实例共享，会出现同一令牌在不同实例同时连接的漏洞，这种场景下该方案不适用。

更优方案推荐 #

根据部署场景不同，有以下更健壮的方案：

1. 分布式存储跟踪活跃连接（多实例首选） #

基于Redis、SQL Server等分布式存储实现跨实例的连接状态共享：

• 连接建立前，解析JWT的jti（令牌唯一ID）或sub作为键，查询分布式存储中是否存在该键的活跃连接记录。
• 若存在则拒绝新连接；若不存在则写入记录，并设置过期时间（略长于SignalR的连接超时时间）。
• 在OnDisconnectedAsync中主动删除对应记录；异常断开的记录会因过期时间自动清理，无需额外定时任务。

2. 令牌级别的连接控制（适合短期令牌场景） #

利用JWT的自定义声明或内置字段实现更精准的控制：

• 给JWT添加max_concurrent自定义声明（值设为1），或直接使用jti作为令牌唯一标识。
• 新连接时，对比存储中记录的该用户/令牌的最新连接信息，若当前令牌不是最新的，直接拒绝或踢掉旧连接。
• 这种方式可以实现“自动替换旧连接，保留最新连接”的逻辑，比单纯拒绝更灵活。

3. 主动踢除旧连接提升用户体验 #

不直接拒绝新连接，而是主动终止旧连接：

• 记录每个令牌对应的活跃连接ID，当新连接到来时，若已有活跃连接，调用Clients.Client(oldConnectionId).SendAsync("ForceDisconnect")通知旧客户端主动断开。
• 待旧连接断开后，再允许新连接建立，避免用户遇到“连接被拒绝”的生硬提示。

内容的提问来源于stack exchange，提问作者scydev