SignalR 提供授权 token

Question

我正在努力决定如何最好地向我的 SignalR 服务添加身份验证和授权。

目前，它与 WebApi2 Web 服务一起托管在 Owin 中。我使用 OAuth2 不记名 token 对这些 token 进行身份验证，并且效果很好。但是，我想知道它们是否适合 SignalR？

我的客户端基于 JavaScript，如果可用，SignalR 使用 WebSockets。这意味着我不能使用 Authorization header 。我发现我可以在连接之前使用 qs 属性提供 token 。但是当然 OAuth2 访问 token 会过期(并且在我的实现中相对较短)。我认为更新 qs 属性在连接后不会产生任何影响(尤其是使用网络套接字)。

我想我的问题是向 SignalR 提供安全 token 、票证或任何类型的授权信息的最佳方式是什么？最好是一种可以在我的 WebApi 和 SignalR 上保持一致的方式，但我想知道我应该如何做。

谢谢

Answer 1

现在已经有一段时间了 - 但我们曾经在 signalR 请求中查找 auth cookie，以确保只有登录的用户才能订阅信号通知。

它没有处理 token 过期的情况 - 因为仅在连接时检查 cookie。这对我们来说不是问题。