Blazor中AuthorizationHandler重复获取AuthService实例的问题及优化

问题原因 #

1. AuthorizationHandler的生命周期特性：ASP.NET Core授权框架默认将AuthorizationHandler按Transient服务处理——即便你手动注册为Scoped，框架每次执行授权检查时仍会创建新的Handler实例。
2. 作用域不匹配：在Blazor Server中，Scoped服务的作用域绑定到用户的SignalR连接会话，但授权检查可能在组件渲染的同步上下文外执行，或框架为每次授权请求创建临时作用域，导致每次注入的AuthService都是全新实例，无法复用缓存数据。

解决方法 #

1. 引入Singleton权限缓存服务（推荐） #

将缓存从AuthService实例内部剥离，改用Singleton服务存储所有用户的权限数据，按用户ID作为缓存键，确保Scoped的AuthService能跨实例复用缓存：

// 单例权限缓存服务
public class PermissionCacheService
{
    private readonly ConcurrentDictionary<string, Dictionary<string, int>> _userPermissionCache = new();

    // 尝试获取用户权限
    public bool TryGetUserPermissions(string userId, out Dictionary<string, int> permissions)
    {
        return _userPermissionCache.TryGetValue(userId, out permissions);
    }

    // 存储用户权限
    public void SetUserPermissions(string userId, Dictionary<string, int> permissions)
    {
        _userPermissionCache.AddOrUpdate(userId, permissions, (key, oldValue) => permissions);
    }

    // 主动清除指定用户缓存（用于权限变更时）
    public void ClearUserPermissions(string userId)
    {
        _userPermissionCache.TryRemove(userId, out _);
    }
}

// 修改AuthService，注入单例缓存
public class AuthService
{
    private readonly PermissionCacheService _permissionCache;
    private readonly YourDbContext _dbContext;

    public AuthService(PermissionCacheService permissionCache, YourDbContext dbContext)
    {
        _permissionCache = permissionCache;
        _dbContext = dbContext;
    }

    public async Task<bool> GetPermission(string resource, ClaimsPrincipal user, int requiredLevel)
    {
        var userId = user.FindFirstValue(ClaimTypes.NameIdentifier);
        if (string.IsNullOrEmpty(userId))
            return false;

        // 优先从缓存获取
        if (!_permissionCache.TryGetUserPermissions(userId, out var userPermissions))
        {
            // 从数据库加载用户权限
            var userGroups = await _dbContext.UserGroups
                .Where(ug => ug.UserId == userId)
                .ToListAsync();

            var groupPermissions = await _dbContext.GroupPermissions
                .Where(gp => userGroups.Select(ug => ug.GroupId).Contains(gp.GroupId))
                .ToListAsync();

            // 转换为资源-权限级别的字典
            userPermissions = groupPermissions.ToDictionary(gp => gp.ResourcePath, gp => gp.PermissionLevel);
            _permissionCache.SetUserPermissions(userId, userPermissions);
        }

        // 验证权限级别
        return userPermissions.TryGetValue(resource, out var currentLevel) && currentLevel >= requiredLevel;
    }
}

// 服务注册
builder.Services.AddSingleton<PermissionCacheService>();
builder.Services.AddScoped<AuthService>();
builder.Services.AddScoped<IAuthorizationHandler, PermissionLevelAuthorizationHandler>();

2. 强制AuthorizationHandler复用Scoped AuthService（不推荐） #

若坚持在Scoped的AuthService内缓存，可将AuthorizationHandler注册为Scoped，并确保所有授权检查都在用户的SignalR连接作用域内执行。但这种方式存在局限性：后台任务或跨作用域的授权请求仍会创建新的AuthService实例，缓存稳定性难以保障。

更优方案 #

结合你的需求（避免Cookie膨胀、不依赖前端存储、支持权限即时生效），推荐以下优化方向：

• 主动失效机制：在用户组或权限变更的业务接口中，调用PermissionCacheService.ClearUserPermissions(userId)，确保用户下一次授权检查时加载最新权限，无需等待缓存自动刷新。
• 分布式缓存适配：如果是多实例部署场景，将PermissionCacheService替换为Redis等分布式缓存，实现跨实例的权限缓存共享，同时保留主动失效逻辑。
• ClaimsTransformation辅助：若常用权限数量较少，可在用户登录时通过IClaimsTransformation将用户ID等核心标识添加到Claims中，避免每次授权检查都解析用户身份，进一步提升性能。

备选方案评估 #

• 存储到认证Cookie：受限于Cookie大小限制，用户组/权限过多易导致Cookie溢出，且多应用共享时同步逻辑复杂，不推荐。
• 前端本地/会话存储：存在被篡改的安全风险，且无法跨设备同步权限状态，不符合你的需求。
• 单例缓存定期刷新：权限变更存在延迟，用户需等待刷新周期才能获取新权限，体验较差，不如主动失效机制灵活。

内容的提问来源于stack exchange，提问作者Copatek