Blazor Server（Windows身份验证）如何阻止浏览器缓存登录凭据？

要强制浏览器在每次访问Blazor Server应用时重新要求输入Windows身份验证凭据，你可以从HTTP缓存控制、身份验证配置和页面级处理三个层面入手：

1. 全局设置HTTP缓存禁用头 #

浏览器缓存凭据往往和页面缓存绑定，通过设置响应头禁止缓存，能避免浏览器复用之前的身份验证状态：

方式一：在_Host.cshtml添加元标签 #

在页面的<head>区域加入以下meta标签，告知浏览器不缓存任何内容：

<meta http-equiv="Cache-Control" content="no-cache, no-store, must-revalidate" />
<meta http-equiv="Pragma" content="no-cache" />
<meta http-equiv="Expires" content="0" />

方式二：通过中间件全局设置响应头 #

在Program.cs中添加自定义中间件，确保所有响应都带上禁用缓存的头：

app.Use(async (context, next) =>
{
    context.Response.Headers["Cache-Control"] = "no-cache, no-store, must-revalidate";
    context.Response.Headers["Pragma"] = "no-cache";
    context.Response.Headers["Expires"] = "0";
    await next();
});

2. 修改Windows身份验证的Negotiate配置 #

Windows身份验证依赖Negotiate协议，默认会缓存凭据。通过配置AddNegotiate选项，直接禁用凭据缓存和持久化：

在Program.cs的身份验证注册代码中修改：

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate(options =>
    {
        // 禁止使用缓存的凭据
        options.AllowCachedCredentials = false;
        // 不持久化身份验证会话
        options.Persist = false;
    });

这个配置会让服务器在每次请求时都要求重新进行身份验证协商，不会复用之前的缓存凭据。

3. 页面级强制重新验证（可选） #

如果需要针对特定页面或布局强制重新登录，可以借助IHttpContextAccessor和NavigationManager实现：

步骤1：注册IHttpContextAccessor #

在Program.cs中添加：

builder.Services.AddHttpContextAccessor();

步骤2：在布局/组件中实现重新验证 #

比如在MainLayout.razor中，每次初始化时检查并清除当前身份：

@inject NavigationManager NavManager
@inject IHttpContextAccessor HttpContextAccessor

protected override async Task OnInitializedAsync()
{
    var httpContext = HttpContextAccessor.HttpContext;
    if (httpContext?.User.Identity?.IsAuthenticated == true)
    {
        // 登出当前身份
        await httpContext.SignOutAsync(NegotiateDefaults.AuthenticationScheme);
        // 强制重载当前页面，触发重新登录
        NavManager.NavigateTo(NavManager.Uri, forceLoad: true);
    }
}

注意事项 #

• 浏览器层面的“记住凭据”设置可能会覆盖部分配置，测试时建议使用隐私模式，或手动清除浏览器的凭据缓存。
• 确保服务器端未启用任何输出缓存中间件，避免身份验证状态被缓存。
• 部分旧版浏览器对缓存头的支持可能有差异，建议同时使用meta标签和中间件两种方式覆盖场景。

内容的提问来源于stack exchange，提问作者Mdarende