ASP.NET Core 8 Blazor Server+MVC刷新授权页出现403错误求助

1. 检查认证中间件配置顺序 #

Blazor Server与MVC混合场景下，中间件执行顺序直接影响认证逻辑，必须确保UseAuthentication在UseAuthorization和Blazor相关中间件之前执行，同时正确配置JWT的SignalR兼容逻辑：

var builder = WebApplication.CreateBuilder(args);

// 注册MVC和Blazor服务
builder.Services.AddControllersWithViews();
builder.Services.AddServerSideBlazor();

// 配置JWT认证
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
        };

        // 关键：处理Blazor SignalR连接的令牌传递
        options.Events = new JwtBearerEvents
        {
            OnMessageReceived = context =>
            {
                var accessToken = context.Request.Query["access_token"];
                var path = context.HttpContext.Request.Path;
                if (!string.IsNullOrEmpty(accessToken) && path.StartsWithSegments("/_blazor"))
                {
                    context.Token = accessToken;
                }
                return Task.CompletedTask;
            }
        };
    });

builder.Services.AddAuthorization();

var app = builder.Build();

// 环境相关配置
if (!app.Environment.IsDevelopment())
{
    app.UseExceptionHandler("/Home/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();

// 认证中间件必须先于授权中间件
app.UseAuthentication();
app.UseAuthorization();

// 配置路由
app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");
app.MapBlazorHub();
app.MapFallbackToPage("/_Host");

app.Run();

2. 确保刷新时JWT的正确传递 #

刷新页面时，Blazor的初始服务器端渲染请求需要携带有效JWT，可通过以下方式优化：

• 配置JWT认证同时支持从Cookie和请求头获取令牌，修改JwtBearerEvents：

options.Events = new JwtBearerEvents
{
    OnMessageReceived = context =>
    {
        // 处理SignalR连接的令牌
        var accessToken = context.Request.Query["access_token"];
        var path = context.HttpContext.Request.Path;
        if (!string.IsNullOrEmpty(accessToken) && path.StartsWithSegments("/_blazor"))
        {
            context.Token = accessToken;
        }
        // 从Cookie读取令牌（适用于初始渲染请求）
        else if (context.Request.Cookies.TryGetValue("JwtToken", out var cookieToken))
        {
            context.Token = cookieToken;
        }
        return Task.CompletedTask;
    }
};

• 注意存储JWT的Cookie需设置HttpOnly、Secure属性，避免XSS风险。

3. 处理Blazor电路的认证状态 #

Blazor Server的电路会保留会话状态，刷新页面时会重建电路，需确保认证状态能正确初始化：

builder.Services.AddServerSideBlazor()
    .AddCircuitOptions(options =>
    {
        options.DetailedErrors = true;
        // 确保电路使用当前请求的认证状态
        options.AuthenticationStateProvider = typeof(ServerAuthenticationStateProvider);
    });

如果自定义了AuthenticationStateProvider，需确保它能从当前请求中提取JWT并生成有效的AuthenticationState对象。

4. 校验[Authorize]特性的一致性 #

检查MVC控制器和Blazor页面的[Authorize]特性是否使用了一致的策略或角色，确保JWT的Claims包含对应的权限信息：

// MVC控制器示例
[Authorize(Roles = "Admin")]
public class DashboardController : Controller
{
    // 控制器逻辑
}

// Blazor页面示例
@attribute [Authorize(Roles = "Admin")]

同时确认JWT的Claims中包含正确的角色字段（默认是http://schemas.microsoft.com/ws/2008/06/identity/claims/role，自定义需同步配置）。

5. 启用认证日志排查问题 #

在appsettings.json中添加日志配置，查看刷新时的认证失败细节：

{
  "Logging": {
    "LogLevel": {
      "Microsoft.AspNetCore.Authentication": "Debug",
      "Microsoft.AspNetCore.Authorization": "Debug"
    }
  }
}

通过日志可定位令牌过期、签名验证失败、Claim缺失等具体问题。

内容的提问来源于stack exchange，提问作者Mrbanad