.NET 8 Blazor WebAssembly后端控制器Microsoft Identity认证异常排查

问题根源 #

前端页面的[Authorize]能正常拦截未登录用户，是因为Blazor WASM客户端本地维护了认证状态，但调用后端API时没有自动携带认证Token，或者后端认证配置存在问题，导致服务端无法识别已认证用户。

分步排查与解决 #

1. 确保前端API请求自动携带Token #

Blazor WASM需要配置HttpClient自动附加Authorization请求头，检查App.Program.cs：

builder.Services.AddHttpClient("EmployeeApi", client =>
{
    client.BaseAddress = new Uri("你的后端API基础地址");
})
.AddHttpMessageHandler<BaseAddressAuthorizationMessageHandler>();

// 注册可注入的HttpClient实例
builder.Services.AddScoped(sp => 
    sp.GetRequiredService<IHttpClientFactory>().CreateClient("EmployeeApi"));

• BaseAddressAuthorizationMessageHandler会自动将当前用户的Bearer Token添加到请求头。
• 组件中必须注入这个配置后的HttpClient，不能用默认的无认证实例。

2. 修正后端API的认证中间件配置 #

检查Api.Program.cs的认证/授权中间件顺序和配置：

var builder = WebApplication.CreateBuilder(args);

// 添加Microsoft Identity认证服务
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApi(builder.Configuration.GetSection("AzureAd"));

builder.Services.AddAuthorization();

var app = builder.Build();

// 中间件顺序必须是：先认证，再授权
app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();

app.Run();

• 确认appsettings.json里的AzureAd配置（ClientId、TenantId、Audience）和前端完全一致。
• 必须保证UseAuthentication()在UseAuthorization()之前执行，否则服务端还没解析认证信息就做授权检查，必然返回401。

3. 验证前端Token的有效性 #

在组件中临时添加代码，确认用户的AccessToken存在且有效：

@inject AuthenticationStateProvider AuthStateProvider

@code {
    private async Task CheckToken()
    {
        var authState = await AuthStateProvider.GetAuthenticationStateAsync();
        if (authState.User.Identity.IsAuthenticated)
        {
            var accessToken = await ((IAccessTokenProvider)AuthStateProvider).GetAccessTokenAsync(
                new AccessTokenRequestOptions { Scopes = new[] { "api://你的后端API ClientId/access_as_user" } });
            
            if (accessToken.TryGetToken(out var token))
            {
                Console.WriteLine($"Token: {token.Value}");
            }
            else
            {
                Console.WriteLine("获取Token失败");
            }
        }
    }
}

如果Token为空，检查前端App.Program.cs的MSAL配置是否正确添加了后端API的访问范围：

builder.Services.AddMsalAuthentication(options =>
{
    builder.Configuration.Bind("AzureAd", options.ProviderOptions.Authentication);
    options.ProviderOptions.DefaultAccessTokenScopes.Add("api://你的后端API ClientId/access_as_user");
});

4. 检查后端CORS配置 #

如果前后端域名不同，必须允许携带凭证的CORS请求：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowBlazorClient", policy =>
    {
        policy.WithOrigins("你的Blazor前端域名")
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 关键：允许携带认证凭证
    });
});

// 注意：CORS中间件要放在认证中间件之前
app.UseCors("AllowBlazorClient");
app.UseAuthentication();
app.UseAuthorization();

排查优先级 #

1. 前端是否使用了配置好的带认证的HttpClient
2. 后端中间件顺序是否正确（认证先于授权）
3. 前端Token是否包含后端API的访问权限
4. 后端CORS是否允许携带凭证

内容的提问来源于stack exchange，提问作者SecretFerret