求.NET 8 Blazor Web App（WASM&Server）+IdentityServer模板及401问题解决

可用配置模板 #

直接用.NET CLI生成官方整合模板，无需自行从零搭建：

• WASM独立模式+IdentityServer：运行dotnet new blazorwasm -au Individual -ho，该模板自动集成ASP.NET Core Identity与IdentityServer，包含完整的用户注册、登录流程，以及WASM客户端的OIDC认证配置。
• Server+WASM混合渲染模式+IdentityServer：运行dotnet new blazor -au Individual -ho，这是.NET 8新增的Blazor Web App模板，默认支持两种渲染模式切换，同时内置IdentityServer作为认证服务，客户端（无论Server还是WASM渲染）都能无缝对接认证流程。

401未授权错误排查要点 #

1. 客户端与IdentityServer配置不匹配 #

• 确认WASM客户端Program.cs中的OIDC配置与IdentityServer的客户端注册信息完全一致：
  • ClientId必须严格对应，比如WASM侧：

    builder.Services.AddOidcAuthentication(options =>
    {
        options.ProviderOptions.ClientId = "BlazorWasmClient"; // 需与IdentityServer的Client配置一致
    });
    

  • RedirectUri、PostLogoutRedirectUri必须在IdentityServer的客户端允许列表中，模板默认会自动配置，但手动修改时容易遗漏。

2. 令牌范围缺失或不匹配 #

• 如果API需要特定范围的权限，WASM客户端必须在OIDC配置中声明该范围，比如：

  options.ProviderOptions.Scopes.Add("api");
  options.ProviderOptions.Scopes.Add("offline_access");
  

• 同时IdentityServer的客户端配置要允许该范围，API端需验证令牌的范围：

  // API端配置
  builder.Services.AddAuthorization(options =>
  {
      options.AddPolicy("ApiScope", policy =>
      {
          policy.RequireAuthenticatedUser();
          policy.RequireClaim("scope", "api");
      });
  });
  

3. CORS配置错误 #

• 若WASM客户端与API不在同一域名下，API端必须配置允许携带凭证的CORS策略：

  builder.Services.AddCors(options =>
  {
      options.AddPolicy("AllowWasm", policy =>
      {
          policy.WithOrigins("https://your-wasm-client-domain.com")
                .AllowAnyHeader()
                .AllowAnyMethod()
                .AllowCredentials();
      });
  });
  app.UseCors("AllowWasm");
  

  注意：AllowCredentials()必须启用，否则浏览器不会携带认证Cookie或令牌。

4. 令牌过期或刷新失败 #

• 检查令牌有效期，IdentityServer默认的访问令牌有效期为1小时，刷新令牌需客户端配置offline_access范围，且IdentityServer的客户端需设置AllowOfflineAccess = true。
• .NET 8的OIDC客户端默认会自动刷新令牌，但如果刷新失败（比如刷新令牌过期），会导致后续请求401，此时需引导用户重新登录。

5. API端认证配置错误 #

• 确保API端正确配置IdentityServer的Bearer认证：

  builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
      .AddJwtBearer(options =>
      {
          options.Authority = "https://your-identityserver-domain.com";
          options.Audience = "api"; // 需与令牌的aud声明一致
          options.TokenValidationParameters.ValidateIssuer = true;
      });
  app.UseAuthentication();
  app.UseAuthorization();
  

内容的提问来源于stack exchange，提问作者Mahatma Gandhi