ASP.NET Blazor如何仅在指定页面触发Windows身份验证弹窗

需求 #

• 所有用户均可访问/noauth页面
• 仅已认证的内网域用户可访问/auth页面
• 未认证用户访问/auth时自动弹出Windows凭证登录弹窗

现有代码 #

Auth.razor #

@page "/auth"
@attribute [Authorize]

<h3>Auth</h3>
<CascadingAuthenticationState>
    <AuthorizeView>
        <Authorized>
            <p>You are authorized</p>
        </Authorized>
        <NotAuthorized>
            <p>You are not authorized</p>
        </NotAuthorized>
    </AuthorizeView>
</CascadingAuthenticationState>

@code {

}

NoAuth.razor #

@page "/noAuth"
@attribute [AllowAnonymous]

<h3>NoAuth</h3>

@code {

}

Program.cs 版本A #

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();
builder.Services.AddAuthorization();

问题：权限校验正常，但未认证用户访问/auth时不会弹出登录弹窗

Program.cs 版本B #

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();
builder.Services.AddAuthorization(options => {
    options.FallbackPolicy = options.DefaultPolicy;
});

问题：未认证用户访问/auth会弹窗，但访问/noauth也会触发弹窗，不符合需求

解决方案 #

核心思路：仅对/auth路由强制触发Windows认证挑战，其他路由保持匿名可访问，避免全局默认认证策略影响所有页面。

方案1：通过路由端点配置（推荐） #

修改Program.cs，明确指定路由的认证规则：

using Microsoft.AspNetCore.Authentication.Negotiate;

var builder = WebApplication.CreateBuilder(args);

// 添加Windows身份验证服务
builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();
builder.Services.AddAuthorization();

// 添加Blazor服务
builder.Services.AddRazorPages();
builder.Services.AddServerSideBlazor();

var app = builder.Build();

// 中间件配置
if (!app.Environment.IsDevelopment())
{
    app.UseExceptionHandler("/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();

app.UseAuthentication();
app.UseAuthorization();

// 配置Blazor端点
app.MapBlazorHub();
app.MapFallbackToPage("/_Host");

// 对/auth路由强制要求认证，触发Windows凭证弹窗
app.Map("/auth", context =>
{
    return context.ChallengeAsync(NegotiateDefaults.AuthenticationScheme);
}).RequireAuthorization();

// 允许/noauth路由匿名访问
app.Map("/noauth", context =>
{
    return context.Response.WriteAsync("NoAuth page");
}).AllowAnonymous();

app.Run();

方案2：在Auth页面手动触发认证挑战 #

修改Auth.razor，在未认证时主动发起认证挑战：

@page "/auth"
@attribute [Authorize]
@inject NavigationManager NavManager
@inject IAuthenticationService AuthService
@inject AuthenticationStateProvider AuthStateProvider

<h3>Auth</h3>
<CascadingAuthenticationState>
    <AuthorizeView>
        <Authorized>
            <p>You are authorized</p>
        </Authorized>
        <NotAuthorized>
            @* 未认证时触发弹窗 *@
            @{
                _ = TriggerAuthenticationChallenge();
            }
        </NotAuthorized>
    </AuthorizeView>
</CascadingAuthenticationState>

@code {
    private async Task TriggerAuthenticationChallenge()
    {
        var authState = await AuthStateProvider.GetAuthenticationStateAsync();
        if (!authState.User.Identity.IsAuthenticated)
        {
            var properties = new AuthenticationProperties { RedirectUri = NavManager.Uri };
            await AuthService.ChallengeAsync(properties, NegotiateDefaults.AuthenticationScheme);
        }
    }
}

原理说明 #

• 版本B的问题在于设置了options.FallbackPolicy = options.DefaultPolicy，导致所有路由默认要求认证，即使页面标记了[AllowAnonymous]，浏览器仍会先发起Windows认证请求。
• 通过路由端点配置或页面内手动触发挑战，仅对/auth路由触发WWW-Authenticate响应头，浏览器收到后会弹出Windows凭证窗口；/noauth路由不受影响，可直接访问。

内容的提问来源于stack exchange，提问作者Thomas