Blazor Wasm如何处理API返回带额外头的302重定向并新标签页打开

关于捕获302响应并传递到新标签页的可行性 #

不行。浏览器的XMLHttpRequest、Fetch API（Blazor的HttpClient底层依赖这些）会自动跟随302重定向，不会把302响应暴露给前端代码——这是浏览器的安全机制，前端无法拦截到302的响应体和自定义头，更没法把这些内容传递给新标签页。所以这个方案从根上走不通。

先开新标签页再调用API的CORS问题解决思路 #

这个方案是可行的，关键是要让新标签页的请求处于同源上下文里，避开跨域限制：

• 第一步：用JS互操作打开你Blazor SPA域名下的空白页面（比如oauth-proxy.html），不要直接打开跨域的API地址。
• 第二步：通过sessionStorage或者window.open返回的窗口对象，把API请求需要的标识/参数传递给空白页（比如要触发的OAuth握手接口路径）。
• 第三步：空白页加载完成后，读取参数，用原生JS发起对API的请求——因为空白页和你的SPA同源，只要API配置了允许该域名的CORS规则（允许GET/POST方法、必要的请求头），就不会触发CORS限制。此时浏览器会自动跟随API返回的302重定向，完成OAuth握手流程。

替代优化方案 #

如果API能调整逻辑，建议让API直接返回拼接好所有非标准化参数的第三方OAuth授权URL，而不是返回302响应。这样Blazor拿到URL后，直接用JS互操作在新标签打开即可，完全绕开CORS和重定向拦截的问题。
要是第三方的非标准化要求必须通过请求头实现，那还是得用上面的新标签页调API的方式——因为API作为服务器端可以自由添加请求头调用第三方服务，再把第三方的重定向返回给客户端浏览器，由浏览器自动跳转。

内容的提问来源于stack exchange，提问作者Mike