AspNet.Core+IdentityServer4：SignalR1.0 JWT握手时401未授权

咱们先拆解你遇到的两个核心点：日志里的AuthenticationScheme: Identity.Application was not authenticated.是什么意思，以及为什么令牌验证成功还是返回401。

关于日志信息的解释 #

这条日志其实是ASP.NET Core认证中间件的正常输出——因为你的API服务里可能同时注册了Cookie认证方案（Identity.Application）和JwtBearer认证方案。当SignalR的/context/negotiate请求过来时，认证中间件会尝试所有已注册的认证方案：

• JwtBearer方案：你通过查询字符串传递的令牌验证成功了，用户身份是有效的
• Identity.Application方案：这个方案依赖Cookie，但你的请求里没有携带对应的身份Cookie，所以会提示“未认证”

但这条日志本身不是导致401的原因，它只是中间件尝试多种方案后的一个结果。真正的问题是：为什么JwtBearer验证成功了，授权还是失败？

可能的原因及解决方向 #

1. JwtBearer中间件未配置从查询字符串提取令牌 #

默认情况下，JwtBearer中间件只会从Authorization请求头的Bearer令牌中提取凭证，但你是通过查询字符串signalr_token传递的令牌，所以需要手动配置让它支持从查询字符串获取：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = "你的IdentityServer地址";
        options.Audience = "你的API资源名称";
        
        options.Events = new JwtBearerEvents
        {
            OnMessageReceived = context =>
            {
                // 从查询字符串提取signalr_token参数
                var accessToken = context.Request.Query["signalr_token"];
                var path = context.HttpContext.Request.Path;
                
                // 只在SignalR的negotiate和hub请求中提取
                if (!string.IsNullOrEmpty(accessToken) && 
                    (path.StartsWithSegments("/context")))
                {
                    context.Token = accessToken;
                }
                return Task.CompletedTask;
            }
        };
    });

2. [Authorize]特性未指定认证方案 #

如果你的服务里注册了多种认证方案，默认的[Authorize]可能会尝试使用所有方案，或者优先级不对。你可以明确指定只使用JwtBearer方案：

// 在Hub类上添加
[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme)]
public class YourHub : Hub
{
    // ...
}

这样授权中间件只会验证JwtBearer方案的身份，不会再尝试Identity.Application方案，避免干扰。

3. 中间件顺序错误 #

确保你的中间件注册顺序正确，必须先添加认证和授权，再添加SignalR：

app.UseAuthentication();
app.UseAuthorization();

// 然后注册SignalR端点
app.MapHub<YourHub>("/context");

调试授权过程的具体方法 #

1. 启用详细的认证/授权日志 #

在appsettings.json中添加更详细的日志配置，这样能看到每个认证方案的执行细节，以及授权决策的原因：

{
  "Logging": {
    "LogLevel": {
      "Default": "Information",
      "Microsoft.AspNetCore.Authentication": "Debug",
      "Microsoft.AspNetCore.Authorization": "Debug"
    }
  }
}

启动服务后，你能看到JwtBearer方案是否真的成功验证了令牌，以及授权中间件是如何做出拒绝决策的。

2. 监听JwtBearer的验证事件 #

在JwtBearer的Events中添加OnTokenValidated事件，打印用户的声明信息，确认令牌是否被正确解析：

options.Events.OnTokenValidated = context =>
{
    // 打印用户的所有声明，确认身份是否正确
    foreach (var claim in context.Principal.Claims)
    {
        Console.WriteLine($"Claim: {claim.Type} = {claim.Value}");
    }
    return Task.CompletedTask;
};

3. 自定义授权策略/Handler #

如果默认的授权逻辑不够清晰，你可以自定义一个授权Handler，打印授权上下文的详细信息：

public class DebugAuthorizationHandler : AuthorizationHandler<IAuthorizationRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, IAuthorizationRequirement requirement)
    {
        // 打印用户身份和授权上下文
        Console.WriteLine($"User: {context.User.Identity.Name}");
        Console.WriteLine($"IsAuthenticated: {context.User.Identity.IsAuthenticated}");
        Console.WriteLine($"Requirement: {requirement.GetType().Name}");
        
        // 这里可以手动决策是否通过授权
        context.Succeed(requirement);
        return Task.CompletedTask;
    }
}

// 在Startup中注册
services.AddSingleton<IAuthorizationHandler, DebugAuthorizationHandler>();

这样你能精准看到授权过程中每一步的状态。

内容的提问来源于stack exchange，提问作者Daniel Leiszen