安全 WebSocket 验证：连接 .NET 8 和 Flutter 以实现实时通信
内容提要
本文探讨了如何在 .NET 8 后端与 Flutter 客户端之间实现安全的 WebSocket 身份验证。通过创建自定义中间件处理访问令牌，确保 WebSocket 连接的安全性。配置 .NET 应用程序时，需按顺序添加中间件以确保身份验证正常运行。Flutter 客户端使用 signalr_core 包处理 WebSocket 连接，确保正确发送授权头和 cookie，从而实现安全的实时消息传递。
延伸解读
中间件顺序为何关键
文章强调，在 .NET 8 中必须按 UseAccessTokenMiddleware、UseAuthentication、UseAuthorization 的顺序注册中间件。这是因为访问令牌需要先被写入请求头，身份验证中间件才能读取到它；若顺序颠倒，身份验证将无法获取令牌，导致 WebSocket 连接被拒绝。这一顺序要求是保障整个验证流程生效的前提。
Flutter 端跨平台认证差异
Flutter 客户端需根据平台选择 browser_client 或 io_client。在 Web 上，useCredentials 应设为 true 以携带 cookie，此时可能无需显式传递 Authorization 头；而在移动端，则依赖 accessTokenFactory 提供令牌。文章通过判断 Authorization 头是否为空来区分这两种场景，开发者需注意平台差异，避免认证方式混淆。
安全连接的验证方式
文章通过为 HubConnection 添加 'ReceiveMessage' 监听器来确认连接已成功建立。当服务器发送消息时，监听器会记录用户和消息内容，这证明经过身份验证的 WebSocket 通道已正常工作。此外，映射 Hub 时使用 RequireAuthorization() 可确保只有通过身份验证的用户才能连接到 /changesHub 端点，从而增强安全性。
Q&A
如何在 .NET 8 中实现 WebSocket 身份验证？
在 .NET 8 中，可以通过创建自定义中间件来处理访问令牌，并按顺序添加中间件：UseAccessTokenMiddleware、UseAuthentication 和 UseAuthorization，以确保 WebSocket 连接的安全性。
Flutter 客户端如何处理 WebSocket 连接？
Flutter 客户端使用 signalr_core 包处理 WebSocket 连接，并确保正确发送授权头和 cookie，以实现安全的实时消息传递。
自定义中间件在 WebSocket 身份验证中起什么作用？
自定义中间件用于拦截对 WebSocket 端点的请求，并将访问令牌附加到请求标头，从而确保连接的安全性。
如何确保只有经过身份验证的用户才能连接到 WebSocket？
通过在 WebSocket hub 中映射 hub 并要求授权，确保只有经过身份验证的用户才能连接到 /changesHub 端点。
在 Flutter 中如何设置 WebSocket 连接的授权头？
在 Flutter 中，可以通过设置 customHeaders 来添加授权头信息，确保 WebSocket 连接时携带访问令牌。
如何在 .NET 8 中配置中间件的顺序？
在 .NET 8 中，必须按顺序配置中间件：首先是 UseAccessTokenMiddleware，然后是 UseAuthentication，最后是 UseAuthorization，以确保身份验证正常运行。
