Blazor Server模式下刷新页面时如何维持AuthenticationStateProvider状态？

1. 配置持久化认证Cookie #

默认会话Cookie在页面刷新后会失效，需配置持久化Cookie并设置合理过期规则：

在Program.cs中配置认证服务：

builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
    .AddCookie(options =>
    {
        options.Cookie.Name = "YourAppAuthCookie";
        // 设置Cookie有效期（示例为7天）
        options.ExpireTimeSpan = TimeSpan.FromDays(7);
        // 滑动过期：用户活跃时自动延长有效期
        options.SlidingExpiration = true;
        // 生产环境强制开启安全配置
        options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
        options.Cookie.HttpOnly = true;
        options.Cookie.SameSite = SameSiteMode.Strict;
    });

登录时（以ASP.NET Core Identity为例），启用"记住我"来触发持久Cookie：

var result = await _signInManager.PasswordSignInAsync(model.Email, model.Password, model.RememberMe, lockoutOnFailure: false);
if (result.Succeeded)
{
    return RedirectToPage("/Index");
}

2. 自定义AuthenticationStateProvider（推荐） #

默认的ServerAuthenticationStateProvider依赖SignalR连接初始状态，刷新页面后可能无法正确加载身份信息。自定义Provider可直接从HttpContext读取认证状态：

先注册IHttpContextAccessor：

builder.Services.AddHttpContextAccessor();

实现自定义Provider：

public class PersistentAuthStateProvider : ServerAuthenticationStateProvider
{
    private readonly IHttpContextAccessor _httpContextAccessor;

    public PersistentAuthStateProvider(IHttpContextAccessor httpContextAccessor)
    {
        _httpContextAccessor = httpContextAccessor;
    }

    public override async Task<AuthenticationState> GetAuthenticationStateAsync()
    {
        var httpContext = _httpContextAccessor.HttpContext;
        if (httpContext != null && httpContext.User.Identity?.IsAuthenticated == true)
        {
            return new AuthenticationState(httpContext.User);
        }
        return await base.GetAuthenticationStateAsync();
    }
}

在Program.cs中替换默认Provider：

builder.Services.AddScoped<AuthenticationStateProvider, PersistentAuthStateProvider>();

3. 确保中间件顺序正确 #

管道配置中，认证中间件必须放在路由之后、授权之前：

app.UseRouting();

app.UseAuthentication();
app.UseAuthorization();

app.MapBlazorHub();
app.MapFallbackToPage("/_Host");

关键注意事项 #

• 生产环境必须使用HTTPS，否则CookieSecurePolicy.Always会导致Cookie无法写入。
• Blazor组件内禁止直接操作HttpContext，认证操作建议放在Razor页面或API控制器中完成。
• 若使用Identity框架，需确保UserManager和SignInManager配置无遗漏。

内容的提问来源于stack exchange，提问作者boolean0011