Blazor集成AzureAD OAuth2.0，未授权用户跳转自定义AccessDenied页面求助

核心原因 #

AzureAD身份验证中间件默认会将权限不足的请求重定向到/MicrosoftIdentity/Account/AccessDenied，这个端点在你的应用中不存在导致404，需要覆盖这个默认路径到自定义页面。

具体解决步骤 #

1. 配置AzureAD的OpenIDConnect选项，指定自定义AccessDenied路径 #

在Program.cs中找到AzureAD身份验证的配置代码，添加对OpenIdConnectOptions的配置，设置AccessDeniedPath为你的自定义页面路由：

builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(builder.Configuration.GetSection("AzureAd"))
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddInMemoryTokenCaches();

// 覆盖默认的AccessDenied重定向路径
builder.Services.Configure<OpenIdConnectOptions>(OpenIdConnectDefaults.AuthenticationScheme, options =>
{
    options.AccessDeniedPath = "/AccessDenied";
});

2. 确保自定义AccessDenied页面配置正确路由 #

在你的AccessDenied.razor页面顶部添加正确的路由属性：

@page "/AccessDenied"
@layout MainLayout

<h3>无访问权限</h3>
<p>你没有权限访问该页面，请联系管理员。</p>

3. 验证授权策略配置 #

确保你的"Admin"策略在Program.cs中正确定义，比如基于AzureAD的角色声明：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("Admin", policy =>
        policy.RequireClaim("roles", "Admin"));
    // 如果AzureAD返回的角色声明类型不同，调整这里的ClaimType，比如"http://schemas.microsoft.com/ws/2008/06/identity/claims/role"
});

4. 保留Routes.razor中的NotAuthorized模板 #

你当前在Routes.razor中配置的NotAuthorized模板会处理Blazor本地授权失败的场景（比如用户已登录但不满足策略），可以保留这个配置作为双重保障：

<Found Context="routeData">
    <AuthorizeRouteView RouteData="routeData" DefaultLayout="typeof(Layout.MainLayout)">
         <NotAuthorized>
                 <AccessDenied />
             </NotAuthorized>
    </AuthorizeRouteView>
    <FocusOnNavigate RouteData="@routeData" Selector="h1" />
</Found>
<NotFound>
    <AccessDenied />
</NotFound>

验证 #

启动应用后，用无Admin权限的用户访问/Admin页面，应该会被重定向到你的自定义/AccessDenied页面，而非默认的404页面。

内容的提问来源于stack exchange，提问作者edwp