Blazor Web App中@attribute [Authorize]无法识别已认证用户

问题根源 #

你遇到的核心矛盾在于：路由层面的[Authorize]属性授权检查时机，早于认证状态的异步加载完成时间；而AuthorizeView组件会监听认证状态变化，能在状态更新后重新渲染并正确识别用户身份。

具体来说：

• 当页面标记@attribute [Authorize]时，AuthorizeRouteView会在路由导航初期就执行授权检查，此时你的AuthStateProvider可能还在异步加载用户认证信息（比如从本地存储读取Token、验证Token有效性），初始返回的是未认证状态，因此触发未授权提示。
• 而AuthorizeView组件会订阅认证状态的变更通知，当AuthStateProvider完成异步加载并更新状态后，组件会自动重新渲染，从而正确显示已授权内容。

修复步骤 #

1. 简化Routes.razor逻辑 #

你原本手动判断页面是否带[Authorize]属性的逻辑是冗余的，AuthorizeRouteView会自动处理所有页面的授权逻辑：带[Authorize]的页面执行授权检查，不带的直接渲染。修改后的代码如下：

<CascadingAuthenticationState>
    <Router AppAssembly="typeof(Program).Assembly">
        <Found Context="routeData">
            <AuthorizeRouteView RouteData="routeData" DefaultLayout="typeof(Layout.AdminLayout)">
                <NotAuthorized>
                    <LayoutView Layout="typeof(Layout.MainLayout)">
                        <p>你无权访问此页面，请<a href="/login">登录</a>。</p>
                    </LayoutView>
                </NotAuthorized>
                <Authorizing>
                    <!-- 添加加载状态，避免因异步认证导致的误判 -->
                    <LayoutView Layout="typeof(Layout.MainLayout)">
                        <p>正在验证权限...</p>
                    </LayoutView>
                </Authorizing>
            </AuthorizeRouteView>
        </Found>
        <NotFound>
            <LayoutView Layout="typeof(Layout.MainLayout)">
                <p>抱歉，页面未找到。</p>
            </LayoutView>
        </NotFound>
    </Router>
</CascadingAuthenticationState>

2. 确保AuthStateProvider正确实现状态更新 #

你的自定义AuthStateProvider必须在认证状态变化时调用NotifyAuthenticationStateChanged，通知所有订阅组件更新状态。示例实现：

public class CustomAuthStateProvider : AuthenticationStateProvider
{
    private readonly IJSRuntime _jsRuntime;

    public CustomAuthStateProvider(IJSRuntime jsRuntime)
    {
        _jsRuntime = jsRuntime;
    }

    public override async Task<AuthenticationState> GetAuthenticationStateAsync()
    {
        // 从本地存储读取Token
        var token = await _jsRuntime.InvokeAsync<string>("localStorage.getItem", "authToken");
        
        if (string.IsNullOrEmpty(token))
        {
            // 返回未认证状态
            return new AuthenticationState(new ClaimsPrincipal(new ClaimsIdentity()));
        }

        // 解析Token中的Claims（根据你的Token格式调整）
        var claims = ParseClaimsFromToken(token);
        // 注意第二个参数要指定认证类型，否则IsAuthenticated会返回false
        var identity = new ClaimsIdentity(claims, "JwtAuth");
        
        return new AuthenticationState(new ClaimsPrincipal(identity));
    }

    // 当Token变更时调用此方法更新状态
    public void UpdateAuthState(ClaimsPrincipal user)
    {
        NotifyAuthenticationStateChanged(Task.FromResult(new AuthenticationState(user)));
    }

    private IEnumerable<Claim> ParseClaimsFromToken(string token)
    {
        // 实现Token解析逻辑，比如使用JwtSecurityTokenHandler
        var handler = new JwtSecurityTokenHandler();
        var jwtToken = handler.ReadJwtToken(token);
        return jwtToken.Claims;
    }
}

3. 正确注册服务 #

在Program.cs中注册你的自定义认证状态提供者和授权服务：

builder.Services.AddScoped<AuthenticationStateProvider, CustomAuthStateProvider>();
builder.Services.AddAuthorizationCore();
// 如果是Blazor WebAssembly，还需要添加HttpClient
builder.Services.AddScoped(sp => new HttpClient { BaseAddress = new Uri(builder.HostEnvironment.BaseAddress) });

关键注意点 #

• 确保ClaimsIdentity的第二个参数（认证类型）不为空，否则user.Identity.IsAuthenticated会返回false。
• 登录/登出操作后，必须调用UpdateAuthState方法通知状态变更，比如登录成功后：

  var authStateProvider = _serviceProvider.GetRequiredService<CustomAuthStateProvider>();
  authStateProvider.UpdateAuthState(new ClaimsPrincipal(new ClaimsIdentity(claims, "JwtAuth")));
  

内容的提问来源于stack exchange，提问作者Robert Benedetto