Blazor Server中Azure B2C访问令牌获取及传递问题求助

核心问题分析 #

你遇到的MsalUiRequiredException (user_null)本质是MSAL无法从当前上下文找到已登录用户的账户信息，同时配置中缺少必要的Scope绑定和上下文传递逻辑。以下是针对性解决方案：

1. 修正Program.cs中的认证配置 #

Blazor Server的Azure B2C配置和WASM不同，需要明确添加API访问权限并绑定配置，同时确保令牌缓存正确初始化：

builder.Services.AddMicrosoftIdentityWebAppAuthentication(builder.Configuration, Constants.AzureAdB2C)
    .EnableTokenAcquisitionToCallDownstreamApi(new[] { "enterpriseportalscopeurl" })
    .AddInMemoryTokenCaches();

// 配置默认请求的Scope，确保登录时获取对应权限
builder.Services.Configure<OpenIdConnectOptions>(Constants.AzureAdB2C, options =>
{
    options.Scope.Add("enterpriseportalscopeurl");
    options.ResponseType = "code id_token"; // B2C需明确响应类型
});

2. 解决user_null异常 #

Blazor Server中，ITokenAcquisition需要依赖当前用户的ClaimsPrincipal，直接注入调用可能丢失上下文，需确保：

• 在Razor组件中通过级联参数获取认证状态，传递用户主体：

[Inject]
public ITokenAcquisition TokenAcquisitionService { get; set; }

[CascadingParameter]
private Task<AuthenticationState> AuthenticationStateTask { get; set; }

public async Task<string> GetTokenAsync()
{
    var authState = await AuthenticationStateTask;
    var user = authState.User;

    if (user.Identity.IsAuthenticated)
    {
        return await TokenAcquisitionService.GetAccessTokenForUserAsync(
            new[] { "enterpriseportalscopeurl" },
            user: user,
            authenticationScheme: Constants.AzureAdB2C // 使用你的B2C配置节名称，而非硬编码"OpenIdConnect"
        );
    }
    throw new UnauthorizedAccessException("用户未登录");
}

• 避免在组件初始化（如OnInitializedAsync）时直接调用，需等待认证状态加载完成。

3. 配置企业门户Scope的正确方式 #

Blazor Server无需像WASM那样通过AddMsalAuthentication配置，而是在AddMicrosoftIdentityWebAppAuthentication后通过EnableTokenAcquisitionToCallDownstreamApi添加Scope，或在OpenIdConnectOptions中配置默认请求的Scope，确保登录时就获取对应权限的令牌。

4. 解决令牌长期有效性问题 #

令牌过期后MSAL会自动尝试静默刷新，但若缓存失效或刷新令牌过期，会触发MsalUiRequiredException，此时需要处理异常并重定向登录：

try
{
    var token = await GetTokenAsync();
    // 使用令牌调用API
}
catch (MicrosoftIdentityWebChallengeUserException)
{
    // 触发重新登录以获取新令牌
    NavigationManager.NavigateTo($"/MicrosoftIdentity/Account/SignIn?returnUrl={Uri.EscapeDataString(NavigationManager.Uri)}");
}

同时，替换内存缓存为持久化缓存方案（如分布式缓存），避免应用重启或会话过期导致缓存丢失：

// 开发环境用分布式内存缓存，生产可替换为Redis等
builder.Services.AddDistributedMemoryCache(); 
builder.Services.AddMicrosoftIdentityWebAppAuthentication(builder.Configuration, Constants.AzureAdB2C)
    .EnableTokenAcquisitionToCallDownstreamApi(new[] { "enterpriseportalscopeurl" })
    .AddDistributedTokenCaches();

关键注意事项 #

• 确保Constants.AzureAdB2C对应appsettings.json中的配置节名称，且配置包含Instance、Domain、TenantId、ClientId、CallbackPath、SignUpSignInPolicyId等必填项。
• 调用GetAccessTokenForUserAsync时，必须指定正确的认证方案（即你的B2C配置节名称，不是通用的"OpenIdConnect"）。
• 检查Azure B2C应用注册中是否已添加企业门户的API权限，并授予管理员同意。

内容的提问来源于stack exchange，提问作者nitesh2009