.NET 8服务端Blazor自定义授权状态提供器授权异常排查

1. 检查角色声明的类型匹配性 #

Entra ID返回的角色声明类型是http://schemas.microsoft.com/ws/2008/06/identity/claims/role，而如果你的自定义逻辑添加角色时用的是ClaimTypes.Role（对应http://schemas.xmlsoap.org/ws/2005/05/identity/claims/role），这两个属于不同的声明类型。[Authorize(Roles = "Admin")]默认会匹配Entra ID使用的声明类型，导致自定义添加的角色被忽略。

解决方法：添加角色时统一使用Entra ID的角色声明类型，示例代码：

// 替换原有的ClaimTypes.Role写法
var roleClaim = new Claim("http://schemas.microsoft.com/ws/2008/06/identity/claims/role", "Admin");
userIdentity.AddClaim(roleClaim);

2. 处理预渲染阶段的角色加载问题 #

Blazor Server默认会预渲染页面，此时CustomAuthenticationStateProvider的GetAuthenticationStateAsync可能还未完成数据库查询，导致预渲染时的ClaimsPrincipal没有携带角色，触发授权拒绝。

解决方法：

• 给目标页面添加交互模式标记，跳过预渲染：@rendermode InteractiveServer（根据你的实际交互模式调整）
• 或者在GetAuthenticationStateAsync中确保等待数据库查询完成后再返回AuthenticationState

3. 统一授权策略的声明识别规则 #

如果应用自定义了授权策略，需要确保策略同时兼容两种角色声明类型，或者统一使用一种。示例配置：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("AdminPolicy", policy =>
        policy.RequireAssertion(context =>
            context.User.HasClaim(c => 
                (c.Type == ClaimTypes.Role || c.Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/role") 
                && c.Value == "Admin")
        ));
});

之后页面使用策略授权代替角色参数：@attribute [Authorize(Policy = "AdminPolicy")]

4. 确认状态通知的正确性 #

确保在更新ClaimsPrincipal后，正确调用NotifyAuthenticationStateChanged并传递更新后的实例：

var updatedUser = new ClaimsPrincipal(updatedIdentity);
var authState = new AuthenticationState(updatedUser);
NotifyAuthenticationStateChanged(Task.FromResult(authState));

注意必须传递包含新角色的AuthenticationState实例，而非原实例。

内容的提问来源于stack exchange，提问作者Rob Marsh