.NET 8 Blazor Server部署IIS后SignalR连接401未授权求助

环境配置 #

• .NET 8.0.19 Blazor Server应用
• 采用Windows身份认证实现SSO，IIS服务器与客户端同属AD域
• IIS位于HTTPS负载均衡器后方，SSL终结于LB/IIS
• IIS已启用WebSocket并配置身份认证要求
• 此前IIS上Windows身份认证功能正常，可获取用户身份并从后端数据库读取权限设置自定义声明
• SignalR权限更新通知功能在IIS Express中运行正常，但发布到IIS后，调用await hubConnection.StartAsync();时触发错误：

HttpRequestException: Response status code does not indicate success: 401 (Unauthorized)

已排查动作 #

• 确认负载均衡器WebSocket配置正常，无流量丢失
• 服务器端Wireshark追踪发现SignalR协商阶段域/用户信息丢失
• 尝试过官方文档中"Windows身份认证和SignalR时的模拟"方案及多种配置组合，均未解决问题

1. 负载均衡器身份头传递配置 #

由于SSL终结在LB，需确保LB完整转发客户端Windows身份认证相关头（如Authorization的Negotiate/NTLM头）到IIS。多数LB默认会剥离这类头，需在LB控制台开启"传递客户端身份头"或"保留认证头"选项，避免协商阶段凭据丢失。

同时确认IIS站点禁用匿名认证，强制走Windows身份认证流程，防止协商逻辑被跳过。

2. 修正SignalR客户端连接配置 #

在Blazor客户端建立SignalR连接时，显式指定使用默认凭据传递，且强制使用WebSocket传输：

var hubConnection = new HubConnectionBuilder()
    .WithUrl(NavigationManager.ToAbsoluteUri("/yourHubPath"), options =>
    {
        options.UseDefaultCredentials = true;
        options.Transports = HttpTransportType.WebSockets;
    })
    .Build();

注意：无需手动模拟用户，.NET 8中UseDefaultCredentials会自动处理当前上下文的用户凭据传递，手动模拟可能导致凭据冲突。

3. 服务器端认证与SignalR端点配置 #

在Program.cs中确保认证管道顺序正确，SignalR端点在认证之后注册：

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = options.DefaultPolicy;
});

builder.Services.AddSignalR();

var app = builder.Build();

app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();
app.UseAuthentication(); // 认证必须在授权前
app.UseAuthorization();

app.MapBlazorHub();
app.MapHub<YourHub>("/yourHubPath"); // SignalR端点需在认证管道后
app.MapFallbackToPage("/_Host");

同时检查IIS应用池身份：需使用域账户或配置了SPN的ApplicationPoolIdentity，避免本地账户导致Kerberos认证失败。

4. Kerberos SPN注册（关键） #

由于Wireshark显示用户信息丢失，大概率是Kerberos认证失败回退到NTLM，而LB环境下NTLM无法正确传递身份。需为IIS服务器注册SPN（需域管理员权限）：

setspn -S HTTP/你的IIS服务器域名 域\应用池账户
setspn -S HTTP/你的负载均衡器域名 域\应用池账户

另外，确保客户端浏览器将站点添加到"本地Intranet"区域，自动发送Windows凭据。

5. 启用详细日志调试 #

在appsettings.json中添加日志配置，查看协商阶段的认证细节：

{
  "Logging": {
    "LogLevel": {
      "Microsoft.AspNetCore.SignalR": "Debug",
      "Microsoft.AspNetCore.Authentication": "Debug"
    }
  }
}

同时查看IIS日志，确认/yourHubPath/negotiate请求的状态码和认证头信息，定位是头丢失还是认证逻辑错误。

内容的提问来源于stack exchange，提问作者Ioda