.NET 8.0 Blazor Hybrid策略授权始终重定向至不存在页面

核心原因 #

1. 默认重定向路径不匹配Hybrid场景：Blazor Hybrid应用沿用了ASP.NET Core Web的Microsoft Identity授权失败重定向逻辑，指向/MicrosoftIdentity/Account/AccessDenied，但这个Web端路径在Hybrid应用中不存在，导致错误跳转。
2. 客户端策略与声明不匹配：即使策略已定义，Entra返回的角色声明默认以roles为类型（而非标准的ClaimTypes.Role），如果策略配置时未对应声明类型，会导致授权判断错误。

解决方案 #

1. 自定义授权失败重定向路径

在客户端Program.cs中配置MSAL认证时，指定应用内的访问拒绝页面路径：

builder.Services.AddMsalAuthentication(options =>
{
    builder.Configuration.Bind("AzureAd", options.ProviderOptions.Authentication);
    options.ProviderOptions.DefaultAccessTokenScopes.Add("your-entra-api-scope");
    
    // 替换默认重定向为应用内页面
    options.AuthenticationPaths.AccessDeniedPath = "/AccessDenied";
});

然后创建AccessDenied.razor页面，用于展示访问拒绝提示，避免跳转到不存在的Web路径。

2. 确保策略与Entra声明匹配

在客户端Program.cs中配置授权策略时，明确匹配Entra返回的声明类型：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy(PolicyConstants.IsAdmin, policy =>
    {
        // 直接匹配Entra返回的"roles"声明
        policy.RequireClaim("roles", "Admin");
        // 若已映射声明类型，也可使用标准Role类型
        // policy.RequireRole("Admin");
    });
});

如果需要将Entra的roles声明映射为标准ClaimTypes.Role，可添加声明转换：

builder.Services.AddMsalAuthentication(options =>
{
    // 其他配置...
    options.ProviderOptions.ClaimsProvider = new DefaultClaimsProvider(options.ProviderOptions.ClaimsProvider)
    {
        MapClaims = claim =>
        {
            if (claim.Type == "roles")
            {
                return new Claim(ClaimTypes.Role, claim.Value);
            }
            return claim;
        }
    };
});

3. 路由级授权替代页面特性（可选）

若不想在每个页面添加[Authorize]特性，可在路由配置中全局绑定策略：

app.MapRazorComponents<App>()
    .AddInteractiveServerRenderMode()
    .AddInteractiveWebAssemblyRenderMode()
    .AddAdditionalAssemblies(typeof(AdminDashboardPage).Assembly)
    .AddAuthorization(options =>
    {
        // 为/admin路径绑定IsAdmin策略
        options.AddPolicyRoute("/admin", PolicyConstants.IsAdmin);
    });

验证步骤 #

• 在任意授权页面添加代码打印用户声明，确认是否包含符合策略的条目：

  @context.User.Claims.Select(c => $"{c.Type}: {c.Value}")
  

• 测试授权失败场景，确认跳转到自定义的/AccessDenied页面而非原Web路径。

内容的提问来源于stack exchange，提问作者Josh