Blazor模板首页[Authorize]生效的最小配置及异常排查

问题核心原因 #

1. 根路由预渲染的特殊逻辑：Blazor Server的根路由（/）在应用启动时会触发预渲染，这个阶段会直接调用ASP.NET Core的IAuthenticationService进行认证检查；而其他页面的[Authorize]是在已建立的Blazor电路中，通过AuthenticationStateProvider处理状态，不需要走服务器端的认证流程。
2. 认证体系依赖缺失：当你在首页添加[Authorize]时，预渲染逻辑要求必须注册IAuthenticationService及对应的认证Scheme，否则会抛出找不到服务或Scheme的错误；而其他页面因为是电路内导航，仅依赖AuthenticationStateProvider即可正常工作。

最小生效配置 #

1. 注册基础认证服务并指定虚拟Scheme #

在Program.cs中添加认证服务注册，使用虚拟Scheme名称即可：

builder.Services.AddAuthentication("DummyScheme")
    .AddScheme<AuthenticationSchemeOptions, DummyAuthenticationHandler>("DummyScheme", _ => { });

2. 实现极简的DummyAuthenticationHandler #

这个Handler仅需满足认证体系的初始化要求，不需要实际的认证逻辑：

public class DummyAuthenticationHandler : AuthenticationHandler<AuthenticationSchemeOptions>
{
    public DummyAuthenticationHandler(IOptionsMonitor<AuthenticationSchemeOptions> options, 
        ILoggerFactory logger, UrlEncoder encoder, ISystemClock clock) 
        : base(options, logger, encoder, clock)
    {
    }

    protected override Task<AuthenticateResult> HandleAuthenticateAsync()
    {
        // 返回一个空的认证通过结果，仅用于满足服务器端预渲染的认证检查
        var identity = new ClaimsIdentity("DummyScheme");
        var principal = new ClaimsPrincipal(identity);
        var ticket = new AuthenticationTicket(principal, "DummyScheme");
        return Task.FromResult(AuthenticateResult.Success(ticket));
    }
}

3. 保留自定义AuthenticationStateProvider的注册 #

builder.Services.AddScoped<AuthenticationStateProvider, DummyAuthStateProvider>();

4. 确保Routes.razor使用AuthorizeRouteView #

<Router AppAssembly="@typeof(App).Assembly">
    <Found Context="routeData">
        <AuthorizeRouteView RouteData="@routeData" DefaultLayout="@typeof(MainLayout)">
            <NotAuthorized>
                <p>你没有权限访问此页面</p>
            </NotAuthorized>
        </AuthorizeRouteView>
        <FocusOnNavigate RouteData="@routeData" Selector="h1" />
    </Found>
    <NotFound>
        <PageTitle>Not found</PageTitle>
        <LayoutView Layout="@typeof(MainLayout)">
            <p role="alert">Sorry, there's nothing at this address.</p>
        </LayoutView>
    </NotFound>
</Router>

关键说明 #

• 预渲染与电路的差异：根页面的预渲染是服务器端的一次性操作，必须通过认证Scheme初始化IAuthenticationService；而后续页面导航是在Blazor电路中进行，直接使用AuthenticationStateProvider的状态，优先级高于服务器端认证Handler的结果。
• 最小化原则：我们不需要配置实际的认证逻辑（如Cookie、JWT），仅需让ASP.NET Core的认证体系能正常初始化，同时保留自定义AuthenticationStateProvider的核心逻辑即可。

内容的提问来源于stack exchange，提问作者Kevin Krumwiede