.NET 8 Blazor WASM：Authorize特性在控制器中失效

你的问题核心是Blazor WebAssembly交互模式下，控制器的[Authorize]特性未生效，而Razor页面授权正常。结合你的代码，主要排查方向和解决步骤如下：

1. 客户端HttpClient未携带认证Cookie #

Blazor WASM作为客户端应用，默认HttpClient不会自动向服务器发送认证Cookie。控制器依赖HttpContext中的Cookie识别用户身份，若请求未携带Cookie，授权逻辑会判定用户身份为空，导致[Authorize]特性看似被忽略。

解决方法： #

在客户端项目的Program.cs中，配置带有身份验证消息处理器的HttpClient，确保请求自动携带认证Cookie：

builder.Services.AddHttpClient("ServerAPI", client => 
    client.BaseAddress = new Uri(builder.HostEnvironment.BaseAddress))
    .AddHttpMessageHandler<BaseAddressAuthorizationMessageHandler>();

// 注册供组件调用API使用的HttpClient实例
builder.Services.AddScoped(sp => 
    sp.GetRequiredService<IHttpClientFactory>().CreateClient("ServerAPI"));

2. 显式配置授权服务 #

虽然AddControllers()会默认添加基础授权服务，但显式配置授权策略可避免角色授权的潜在问题，确保[Authorize(Roles = "...")]逻辑正常生效。

解决方法： #

在服务器端Program.cs中添加授权配置：

builder.Services.AddAuthorization(options =>
{
    // 设置默认授权策略为要求用户已认证
    options.DefaultPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
});

3. 调整Cookie的Secure策略（开发环境适配） #

你当前设置了options.Cookie.SecurePolicy = CookieSecurePolicy.Always，意味着Cookie仅在HTTPS请求中发送。若开发环境使用HTTP，Cookie无法传递到控制器，导致身份无法识别。

解决方法： #

根据环境动态调整Secure策略：

options.Cookie.SecurePolicy = environment.IsDevelopment() 
    ? CookieSecurePolicy.None 
    : CookieSecurePolicy.Always;

4. 验证控制器中的用户身份 #

在控制器Action中添加调试代码，确认用户身份是否被正确获取：

[Route("boo")]
public ContentResult NotAllowed()
{
    var hasAdminRole = User.IsInRole("ADMIN");
    var claims = string.Join("<br>", User.Claims.Select(c => $"{c.Type}: {c.Value}"));
    return Content($"<div>Boo!<br>Has Admin Role: {hasAdminRole}<br>Claims:<br>{claims}</div>", "text/html");
}

如果返回内容中User为空或无角色Claims，说明请求未携带Cookie，需回到第一步检查HttpClient配置。

内容的提问来源于stack exchange，提问作者James