ASP.NET SignalR 2.4中Hub类从Bearer Token获取用户ID问题

我之前也碰到过这个坑——SignalR 2.x并不会像Web API控制器那样自动处理查询字符串里的Bearer Token认证逻辑，所以你虽然能拿到token，但Context.User始终是空的，得手动补上认证这一步才行。

核心原因 #

ASP.NET SignalR 2.x的认证机制和Web API控制器不一样，控制器依赖的是ASP.NET的认证中间件自动解析Header/Query里的Token并填充User对象，但SignalR 2.x默认不会帮你做这个操作，哪怕你通过accessTokenFactory传了Token，也只是把它放到查询字符串里，不会自动验证并关联到Context.User。

解决方案步骤 #

1. 复用项目已有的JWT验证逻辑：既然控制器里能正常获取用户ID，说明你的项目已经配置了JWT认证的核心参数（比如Issuer、Audience、签名密钥），咱们直接复用这套逻辑来解析Token。
2. 在Hub中手动验证Token并赋值给Context.User：在OnConnectedAsync方法里拿到Token后，验证它的有效性，生成对应的ClaimsPrincipal，再赋值给Context.User，之后就能像控制器那样获取用户信息了。

修改后的Hub代码示例 #

using System.Security.Claims;
using System.IdentityModel.Tokens.Jwt;
using Microsoft.IdentityModel.Tokens;

public class ChatHub : Hub
{
    // 注入和Web API一致的Token验证参数，确保逻辑统一
    private readonly TokenValidationParameters _tokenValidationParameters;

    public ChatHub(TokenValidationParameters tokenValidationParameters)
    {
        _tokenValidationParameters = tokenValidationParameters;
    }

    public override Task OnConnectedAsync()
    {
        var query = Context.GetHttpContext().Request.Query;
        var token = query["access_token"].ToString();

        if (string.IsNullOrEmpty(token))
        {
            // 无Token直接断开连接，拒绝未认证请求
            Context.Abort();
            return Task.CompletedTask;
        }

        try
        {
            var tokenHandler = new JwtSecurityTokenHandler();
            // 验证Token有效性，生成用户身份信息
            var principal = tokenHandler.ValidateToken(token, _tokenValidationParameters, out _);
            // 将验证后的用户信息绑定到Context.User
            Context.User = principal;

            // 现在就能正常获取UserID了
            var userId = Context.User.Claims.First(c => c.Type == "UserID").Value;
            var connectionId = Context.ConnectionId;
            // 这里可以做用户与连接ID的关联存储等操作
        }
        catch (SecurityTokenException)
        {
            // Token无效，直接断开连接
            Context.Abort();
            return Task.CompletedTask;
        }

        return base.OnConnectedAsync();
    }
}

关键注意事项 #

• TokenValidationParameters配置要一致：这个参数必须和你Startup类中配置JWT认证时用的完全相同，保证Token验证逻辑和Web API控制器完全统一，避免出现“控制器能过、Hub不能过”的情况。
• 客户端代码无需修改：你当前Angular客户端用accessTokenFactory的写法是对的——SignalR 2.x不支持在请求Header里传Bearer Token，只能通过查询字符串传递，所以不用手动加Header，保持现有代码即可。
• 统一认证逻辑（可选）：如果你的项目有多个Hub，不想每个Hub都写一遍验证代码，可以自定义一个Hub基类，把Token验证逻辑放到基类的OnConnectedAsync里，其他Hub继承这个基类就行。

内容的提问来源于stack exchange，提问作者Jonathan