Hangfire部署至Azure应用服务配置Azure AD授权后访问仪表盘报权限拒绝

直接触发403报错的核心原因 #

• Hangfire 仪表盘授权逻辑完全反向
  你写的HangFireAuthorizationFilter.Authorize方法返回!context.GetHttpContext().User.Identity.IsAuthenticated，实际执行的判断逻辑是：
  • 未登录的匿名用户：判断结果取反为true，获得访问权限
  • 已经通过AAD登录的用户：判断结果取反为false，被直接拒绝访问
    这套逻辑和你观察到的现象完全闭环：
  • 开启AAD授权时，请求进入应用前Azure应用服务Easy Auth已经完成登录校验，把用户身份写入HttpContext.User，请求到达Hangfire仪表盘时，因为用户已经是已认证状态，直接被反向逻辑拦截抛出403
  • 关闭AAD授权时，请求上下文里的用户身份是未认证状态，取反后判断为true，直接放行访问，应用运行完全正常
• Hangfire 后台服务重复初始化
  你在ConfigureServices方法里已经通过services.AddHangfireServer()完成了后台任务服务的注册，又在Configure管道方法里调用app.UseHangfireServer()二次创建服务实例，造成不必要的资源占用。

具体修正步骤 #

1. 修正Hangfire授权过滤器的逻辑，去掉取反符号：

   public bool Authorize([NotNull] DashboardContext context)
   {
       // 仅允许已认证用户访问仪表盘
       return context.GetHttpContext().User.Identity.IsAuthenticated;
   }
   

2. 调整Hangfire服务注册逻辑，去掉重复初始化代码：
   把自定义的WorkerCount配置移到ConfigureServices的服务注册逻辑中，删除Configure方法里的app.UseHangfireServer(...)调用：

   // ConfigureServices中调整
   services.AddHangfireServer(options => 
   {
       options.WorkerCount = Environment.ProcessorCount * 5;
   });
   

3. 核对Azure应用服务身份验证配置：
   • 关联的AAD应用注册的回复URL，需和当前应用服务的公网域名完全匹配
   • 如果不需要对全站页面强制AAD校验，可将未验证请求的处理规则调整为允许匿名访问，仅通过自定义过滤器控制Hangfire仪表盘的访问权限

说明：Azure应用服务的Easy Auth机制是在应用代码管道之外的宿主层完成身份校验的，会自动将已登录用户的身份信息注入请求上下文，不需要在应用Startup代码中额外添加AAD认证相关的中间件。

内容的提问来源于stack exchange，提问作者crystyxn