Blazor(交互式服务器) Cookie认证：Razor页LocalRedirect后用户身份丢失

1. 中间件配置缺失/顺序错误 #

你的Program.cs仅注册了认证服务，但未将认证、授权中间件加入请求管道，且中间件执行顺序直接影响认证逻辑生效。修改Program.cs如下：

var builder = WebApplication.CreateBuilder(args);

// 保留原有Cookie认证服务注册
builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.ExpireTimeSpan = TimeSpan.FromMinutes(20);  
        options.SlidingExpiration = true;
        options.LoginPath = "/login";
        options.Cookie.HttpOnly = true;  
        options.Cookie.SameSite = SameSiteMode.Lax;  
        options.Cookie.SecurePolicy = CookieSecurePolicy.SameAsRequest;
    });

// 添加授权服务
builder.Services.AddAuthorization();

// 注册Blazor与页面服务
builder.Services.AddRazorPages();
builder.Services.AddServerSideBlazor();
// ... 你的其他服务注册

var app = builder.Build();

// 严格遵循中间件顺序：路由 → 认证 → 授权 → 端点映射
app.UseRouting();

app.UseAuthentication();
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    endpoints.MapRazorPages();
    endpoints.MapBlazorHub();
    endpoints.MapFallbackToPage("/_Host");
    // 映射内部控制器
    endpoints.MapControllers();
});

app.Run();

2. 自定义认证状态提供程序与Cookie认证冲突 #

你之前实现的自定义认证状态提供程序会覆盖Blazor Server默认的ServerAuthenticationStateProvider，导致Cookie认证的身份信息无法被读取。

方案A：完全切换到Cookie认证 #

移除自定义认证状态提供程序的注册代码（比如builder.Services.AddScoped<AuthenticationStateProvider, CustomAuthStateProvider>()），Blazor会自动使用默认提供器，从HttpContext中读取Cookie认证的身份。

方案B：兼容第三方Token与Cookie认证 #

修改自定义提供器，优先读取Cookie身份：

public class CustomAuthStateProvider : ServerAuthenticationStateProvider
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public CustomAuthStateProvider(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    public override async Task<AuthenticationState> GetAuthenticationStateAsync()
    {
        // 优先检查Cookie认证的用户身份
        var httpContextUser = _httpContextAccessor.HttpContext?.User;
        if (httpContextUser?.Identity?.IsAuthenticated == true)
        {
            return new AuthenticationState(httpContextUser);
        }

        // 保留原有基于第三方Token的认证逻辑
        // ... 你的Token验证与用户信息获取代码
        var tokenUser = await GetUserFromToken();
        return new AuthenticationState(tokenUser);
    }
}

3. 页面与控制器的授权验证 #

• Blazor组件页面需正确标记[Authorize]特性：

  @page "/dashboard"
  @attribute [Authorize]
  
  <h1>仪表盘</h1>
  

• 内部控制器直接添加[Authorize]即可启用Cookie保护：

  [Authorize]
  public class InternalController : ControllerBase
  {
      // 控制器动作逻辑
  }
  

4. 登录重定向的细节确认 #

Login.razor中使用navManager.NavigateTo("/loginAuth?u={result.Username}", true)的强制刷新参数true是正确的，确保页面重新加载后Cookie身份能被HttpContext读取。同时检查浏览器Cookie的Path属性为/，确保所有请求都能携带Cookie。

内容的提问来源于stack exchange，提问作者John