什么是默认的 Javascript SignalR 客户端身份验证方案？答案

【问题标题】：What is default Javascript SignalR Client AuthenticationSchemes?什么是默认的 Javascript SignalR 客户端身份验证方案？
【发布时间】：2019-02-20 04:24:03
【问题描述】：

我的 SignalR 应用有两个客户端：用于 Web 浏览器的 Javascript 客户端和使用 JWT 不记名身份验证的 Android 客户端 (Gurgen/SignalR-.net-core-android-client)。

我将此属性添加到我的 SignalR Hub：

[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme + "," + CookieAuthenticationDefaults.AuthenticationScheme)]
public class MyHub : Hub

还有我的 Startup.cs 文件：

        public void ConfigureServices(IServiceCollection services)
        {
        //…
        services.AddAuthentication()
            .AddCookie(cfg => cfg.SlidingExpiration = true)
            .AddJwtBearer(options =>
            {
                options.RequireHttpsMetadata = false;
                options.SaveToken = true;
                options.TokenValidationParameters = new TokenValidationParameters()
                {
                    ValidIssuer = Configuration["Tokens:Issuer"],
                    ValidAudience = Configuration["Tokens:Issuer"],
                    IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["Tokens:Key"]))
                };
            });
        services.AddSignalR();
        //…

Android 客户端使用标头身份验证承载令牌成功登录。但是网络客户端连接到集线器失败（401 Unauthorized）。

当我删除 [Authorize] 属性时，javascript 客户端工作！

什么是默认的 Javascript SignalR 客户端身份验证方案？或者我的问题是什么？

我使用 dotnet core 2.1、Microsoft.AspNetCore.SignalR，我的 IDE 是 Visual Studio for Mac。

【问题讨论】：

您的 JavaScript 客户端连接构建器是什么样的？你是通过提供者还是查询字符串传递令牌？

标签： asp.net-core-signalr

【解决方案1】：

这是来自SignalR docs：

在标准 Web API 中，不记名令牌在 HTTP 标头中发送。但是，在使用某些传输时，SignalR 无法在浏览器中设置这些标头。使用 WebSockets 和服务器发送事件时，令牌作为查询字符串参数传输。

services.AddAuthentication(options =>
        {
            // ...
        })
        .AddJwtBearer(options =>
        {
            // ...

            // We have to hook the OnMessageReceived event in order to
            // allow the JWT authentication handler to read the access
            // token from the query string when a WebSocket or 
            // Server-Sent Events request comes in.

            // Sending the access token in the query string is required due to
            // a limitation in Browser APIs. We restrict it to only calls to the
            // SignalR hub in this code.
            // See https://docs.microsoft.com/aspnet/core/signalr/security#access-token-logging
            // for more information about security considerations when using
            // the query string to transmit the access token.
            options.Events = new JwtBearerEvents
            {
                OnMessageReceived = context =>
                {
                    var accessToken = context.Request.Query["access_token"];

                    // If the request is for our hub...
                    var path = context.HttpContext.Request.Path;
                    if (!string.IsNullOrEmpty(accessToken) &&
                        (path.StartsWithSegments("/hubs/chat")))
                    {
                        // Read the token out of the query string
                        context.Token = accessToken;
                    }
                    return Task.CompletedTask;
                }
            };
        });

【讨论】：