.NET 8 Blazor Web App刷新授权路由遇HTTP 403问题求助

问题核心原因 #

刷新页面时的服务器端授权检查与你自定义的CustomAuthenticationStateProvider作用逻辑不匹配：

• 客户端导航场景：通过菜单跳转时，Blazor使用客户端路由机制，组件的[Authorize]特性依赖AuthenticationStateProvider完成授权验证。你的CustomAuthenticationStateProvider会给用户动态添加Permission Claim，因此验证通过。
• 页面刷新场景：按F5刷新时，浏览器直接向服务器发起目标页面的HTTP请求。此时服务器会先执行服务器端预渲染阶段的授权检查，而服务器端HttpContext.User是Windows认证原生生成的ClaimsPrincipal，并不包含你在CustomAuthenticationStateProvider中添加的Permission Claim，导致view策略验证失败，返回HTTP 403。

你的CustomAuthenticationStateProvider仅在Blazor组件层面修改了用户Claims，但未同步到服务器端的认证管道，这是导致问题的关键。

解决方案 #

方案1：在服务器端认证管道中添加Claim（推荐） #

通过AddClaimsTransformation在服务器端的认证流程中统一添加自定义Claim，确保服务器端HttpContext.User和Blazor组件端的AuthenticationState使用同一套Claims：

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

// 添加Claims转换逻辑，给已认证用户追加Permission Claim
builder.Services.AddClaimsTransformation(context =>
{
    if (context.User.Identity.IsAuthenticated)
    {
        context.User.Identities.First().AddClaim(new Claim("Permission", "view"));
    }
    return Task.FromResult(context.User);
});

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = options.DefaultPolicy;
    options.AddPolicy("view", policy => policy.RequireClaim("Permission", "view"));
});

此时你可以移除自定义的CustomAuthenticationStateProvider，Blazor默认的AuthenticationStateProvider会自动同步服务器端的Claims到组件端。

方案2：仅在客户端执行授权验证（不推荐） #

若不需要服务器端预渲染的授权防护，可修改Routes.razor，让授权仅在客户端生效。但此方式会导致未授权用户能看到初始渲染的页面内容，存在安全漏洞，仅适合测试场景：

<Router AppAssembly="@typeof(App).Assembly">
    <Found Context="routeData">
        <AuthorizeRouteView RouteData="@routeData" DefaultLayout="@typeof(MainLayout)">
            <NotAuthorized>
                <p>无访问权限</p>
            </NotAuthorized>
        </AuthorizeRouteView>
    </Found>
    <NotFound>
        <PageTitle>页面未找到</PageTitle>
        <LayoutView Layout="@typeof(MainLayout)">
            <p role="alert">抱歉，未找到请求的页面。</p>
        </LayoutView>
    </NotFound>
</Router>

内容的提问来源于stack exchange，提问作者Quentin Grillon