ASP.NET Core 8+Blazor：API端点登录时如何更新认证状态？

核心问题 #

你遇到的问题根源在于：通过API登录后，虽然调用了AuthenticateUser更新认证状态，但存在几个关键遗漏，导致AuthorizeView无法识别已认证状态，且导航后状态丢失：

• ClaimsIdentity未指定认证类型：创建ClaimsIdentity时未传入认证方案，导致Principal.Identity.IsAuthenticated默认为false，AuthorizeView判定为未认证。
• 缺少SecurityStamp Claim：自定义构建的ClaimsPrincipal没有包含SecurityStamp，触发ValidateSecurityStampAsync验证失败，状态被重置为匿名。
• 未主动持久化用户状态：仅调用NotifyAuthenticationStateChanged通知状态变化，但未将用户信息主动写入PersistentComponentState，客户端导航或刷新时无法恢复认证状态。
• authenticationStateTask未同步更新：自定义更新状态时，没有手动更新authenticationStateTask，后续OnPersistingAsync无法获取最新状态进行持久化。

修复步骤 #

1. 完善AuthenticateUser方法 #

修改AuthenticateUser，补充认证类型、SecurityStamp，并主动持久化状态：

using Microsoft.AspNetCore.Authentication.Cookies;
using Microsoft.AspNetCore.Identity;

// ...

public void AuthenticateUser(UserSession userSession)
{
    // 从API返回的UserSession中获取SecurityStamp（需确保API接口返回该字段）
    // 或通过UserManager查询获取：
    // await using var scope = scopeFactory.CreateAsyncScope();
    // var userManager = scope.ServiceProvider.GetRequiredService<UserManager<ApplicationUser>>();
    // var user = await userManager.FindByIdAsync(userSession.UserId.ToString());
    // var securityStamp = await userManager.GetSecurityStampAsync(user);

    var claims = new List<Claim>
    {
        new(ClaimTypes.NameIdentifier, userSession.UserId.ToString()),
        new(ClaimTypes.Name, userSession.Email),
        new(ClaimTypes.Email, userSession.Email),
        new(ClaimTypes.Role, userSession.Role),
        new("Permissions", string.Join(",", userSession.Permissions)),
        // 添加SecurityStamp Claim，避免验证失败
        new(options.ClaimsIdentity.SecurityStampClaimType, userSession.SecurityStamp)
    };

    // 指定认证类型，确保IsAuthenticated为true
    var claimsIdentity = new ClaimsIdentity(
        claims, 
        CookieAuthenticationDefaults.AuthenticationScheme // 或IdentityConstants.ApplicationScheme
    );
    var claimsPrincipal = new ClaimsPrincipal(claimsIdentity);

    // 同步更新authenticationStateTask，确保OnPersistingAsync能获取最新状态
    var authState = new AuthenticationState(claimsPrincipal);
    authenticationStateTask = Task.FromResult(authState);

    // 主动持久化用户信息到PersistentComponentState，客户端可读取恢复状态
    state.PersistAsJson(nameof(UserInfo), new UserInfo
    {
        UserId = userSession.UserId.ToString(),
        Email = userSession.Email
        // 若UserInfo包含Role等字段，也需同步添加
    });

    // 通知状态变化
    NotifyAuthenticationStateChanged(authenticationStateTask);
}

2. 确保API登录时同步服务端认证状态 #

如果你的登录API是服务端控制器，验证用户后需同步设置HttpContext的认证状态，避免后续请求的HttpContext.User与AuthenticationStateProvider状态不一致：

[ApiController]
[Route("api/auth")]
public class AuthController : ControllerBase
{
    private readonly SignInManager<ApplicationUser> _signInManager;
    private readonly UserManager<ApplicationUser> _userManager;

    public AuthController(SignInManager<ApplicationUser> signInManager, UserManager<ApplicationUser> userManager)
    {
        _signInManager = signInManager;
        _userManager = userManager;
    }

    [HttpPost("login")]
    public async Task<IActionResult> Login([FromBody] LoginRequest request)
    {
        var user = await _userManager.FindByEmailAsync(request.Email);
        if (user == null || !await _userManager.CheckPasswordAsync(user, request.Password))
        {
            return BadRequest("Invalid credentials");
        }

        // 调用SignInManager设置认证Cookie，同步HttpContext.User状态
        await _signInManager.SignInAsync(user, isPersistent: request.RememberMe);

        // 构建并返回UserSession（包含SecurityStamp）
        var userSession = new UserSession
        {
            UserId = user.Id,
            Email = user.Email,
            Role = (await _userManager.GetRolesAsync(user)).FirstOrDefault(),
            Permissions = new List<string>(), // 替换为实际权限逻辑
            SecurityStamp = await _userManager.GetSecurityStampAsync(user)
        };

        return Ok(userSession);
    }
}

3. 验证客户端状态恢复 #

客户端的PersistentAuthenticationStateProvider默认会从PersistentComponentState读取UserInfo并恢复状态，确保你的UserInfo类包含必要字段，且服务端已正确持久化。

关键验证点 #

• 在组件中通过@context.User.Identity.IsAuthenticated输出，检查是否为true。
• 确认ValidateSecurityStampAsync方法中，principalStamp与userStamp是否匹配。
• 导航后查看PersistentComponentState中是否存在UserInfo数据。

内容的提问来源于stack exchange，提问作者Andy