Blazor 8独立账户Cookie认证：API控制器授权失效问题解决

问题场景 #

使用Blazor 8「Auto（Server和WebAssembly）」渲染模式、「独立账户（Individual Accounts）」认证方式，角色权限在Blazor组件中正常生效，但客户端通过HttpClient调用服务端带[Authorize(Roles = "Administrators")]的API控制器时失败，去掉Authorize则正常。

解决步骤 #

1. 服务端配置调整 #

（1）添加认证/授权中间件到请求管道

在服务端Program.cs的请求管道配置中，必须在UseAntiforgery和MapControllers之前添加UseAuthentication和UseAuthorization中间件，否则API控制器无法执行身份验证：

app.UseStaticFiles();
// 新增以下两行，顺序不能错
app.UseAuthentication();
app.UseAuthorization();
app.UseAntiforgery();
app.MapControllers();

（2）确认认证方案配置

你的服务端已正确设置默认认证方案为Identity的Application Scheme，无需额外修改：

builder.Services.AddAuthentication(options =>
    {
        options.DefaultScheme = IdentityConstants.ApplicationScheme;
        options.DefaultSignInScheme = IdentityConstants.ExternalScheme;
    })
    .AddIdentityCookies();

这确保了API控制器的[Authorize]特性会使用和Blazor组件一致的认证方案。

2. 客户端配置调整 #

客户端需要让HttpClient自动携带用户的认证令牌到API请求中，通过BaseAddressAuthorizationMessageHandler实现：

（1）注册认证消息处理器和HttpClient

修改客户端Program.cs，替换原有HttpClient的注册代码：

// 注册用于自动附加认证令牌的消息处理器
builder.Services.AddScoped<BaseAddressAuthorizationMessageHandler>();

// 注册带认证处理的HttpClient
builder.Services.AddHttpClient("ServerAPI", client => 
    client.BaseAddress = new Uri(builder.HostEnvironment.BaseAddress))
    .AddHttpMessageHandler<BaseAddressAuthorizationMessageHandler>();

// 为TemplateService注入带认证的HttpClient
builder.Services.AddScoped(sp => 
    sp.GetRequiredService<IHttpClientFactory>().CreateClient("ServerAPI"));

或者更简洁的Typed Client方式（推荐）：

builder.Services.AddScoped<BaseAddressAuthorizationMessageHandler>();

builder.Services.AddHttpClient<TemplateService>(client => 
    client.BaseAddress = new Uri(builder.HostEnvironment.BaseAddress))
    .AddHttpMessageHandler<BaseAddressAuthorizationMessageHandler>();

这种方式下，TemplateService的构造函数会直接拿到配置好的HttpClient，无需额外处理。

（2）确认认证状态提供者配置

客户端已正确使用PersistentAuthenticationStateProvider，它会自动持久化用户的认证状态，确保令牌在页面刷新后依然有效，无需修改。

3. 验证角色分配 #

确保测试用户已被正确分配到Administrators角色，可通过服务端的Identity管理页面或数据库直接检查用户角色关联。

4. 可选：优化API调用错误处理 #

在TemplateService中可以添加401状态码的处理，比如引导用户重新登录：

public async Task<List<TemplateDTO>?> All()
{
    var response = await _httpClient.GetAsync("api/Templates/all");
    
    if (response.StatusCode == System.Net.HttpStatusCode.Unauthorized)
    {
        // 这里可以触发登录跳转逻辑
        return null;
    }

    return response.IsSuccessStatusCode 
        ? await response.Content.ReadFromJsonAsync<List<TemplateDTO>?>() 
        : null;
}

内容的提问来源于stack exchange，提问作者Simant