Blazor Server基于URL Token实现iframe内自动登录问题咨询

我希望我的站点能够在iframe中运行，由iframe的父页面在URL中提供安全token来识别用户（用户也可以选择在iframe外通过登录账号和密码使用站点）。在验证URL中的token有效且匹配现有用户后，我尝试执行如下代码：

protected override async Task OnInitializedAsync()
{
var result = await signInManager.PasswordSignInAsync("username", "password", ...)
}

该方法返回登录成功，但实际并未登录。在调用PasswordSignInAsync后检查认证状态，发现没有用户登录。请问使用Blazor Server渲染代码是否可以实现此功能？另外我知晓这种方式安全性并不高。

Blazor Server完全可以实现这个功能，你遇到的问题根源在于PasswordSignInAsync的工作机制：它依赖HTTP上下文来生成并设置认证Cookie，但Blazor Server基于SignalR长连接运行，组件的OnInitializedAsync阶段已经脱离了初始请求的HTTP上下文，所以即便方法返回成功，也无法正确建立持久化的用户会话。

解决这个问题可以分两种场景处理：

• 需要持久化登录（刷新页面仍保持登录）：建议在进入Blazor应用之前完成登录逻辑，比如在Razor页面的OnGet方法中，或者自定义中间件里解析URL中的token，验证后找到对应用户，直接调用HttpContext.SignInAsync完成登录，之后再加载Blazor组件。这种方式能正常生成认证Cookie，符合常规的ASP.NET Core认证流程。
• 仅当前SignalR连接内有效：如果不需要持久化登录，可在Blazor组件内通过AuthenticationStateProvider手动设置认证状态：

[Inject]
private UserManager<IdentityUser> UserManager { get; set; }
[Inject]
private SignInManager<IdentityUser> SignInManager { get; set; }
[Inject]
private AuthenticationStateProvider AuthStateProvider { get; set; }

protected override async Task OnInitializedAsync()
{
    // 验证URL中的token，获取对应的用户名或用户ID
    var validUsername = "验证token后得到的用户名";
    var user = await UserManager.FindByNameAsync(validUsername);
    
    if (user != null)
    {
        var userPrincipal = await SignInManager.CreateUserPrincipalAsync(user);
        // 强制更新认证状态
        await ((RevalidatingServerAuthenticationStateProvider)AuthStateProvider)
            .SetAuthenticationStateAsync(Task.FromResult(new AuthenticationState(userPrincipal)));
    }
}

这种方式仅对当前Blazor连接生效，刷新页面后需要重新验证token并设置状态。

内容的提问来源于stack exchange，提问作者Ben