Blazor .NET 8 Auto模式下带身份验证的服务安全访问咨询

一、确保仅已认证用户访问服务 #

• 针对服务器端部署的业务服务，直接在服务类或具体方法上添加[Authorize]特性，未认证用户调用时会触发权限拦截。
• 对于Blazor Razor页面/组件，在顶部添加@attribute [Authorize]，Auto模式下无论组件在客户端还是服务器端渲染，都会自动验证用户身份，未认证用户将被重定向至登录页面。

二、安全传递用户ID等敏感信息（防止篡改） #

• 服务器端渲染场景：直接通过HttpContext.User提取用户ID，例如User.FindFirstValue(ClaimTypes.NameIdentifier)。该信息来自服务器端的加密认证票据，客户端无法篡改，是最安全的方式。
• 客户端渲染场景：禁止从localStorage、sessionStorage等客户端存储读取用户ID，必须通过AuthenticationStateProvider获取AuthenticationState，从中提取用户声明。AuthenticationState的数据源是服务器下发的加密认证票据，客户端无法篡改，服务器会验证票据签名确保合法性。
• 跨端交互场景：如果是Auto模式下组件的自动服务器端交互，无需手动传递用户ID，服务器端会通过HttpContext自动获取当前认证用户信息；如果是调用API端点，确保请求自动携带认证Cookie（默认已配置），服务器端同样通过HttpContext.User读取用户信息即可。

三、注入服务与获取用户信息的流程 #

• 是的，给组件或服务添加[Authorize]特性确保用户已认证后，可直接注入服务使用。
• 标准流程：
  1. 在组件中注入Task<AuthenticationState>（Blazor会自动注入当前认证状态）或AuthenticationStateProvider。
  2. 从AuthenticationState中获取User对象，提取所需声明（如用户ID）。
  3. 将用户ID传递给注入的服务方法执行业务逻辑。
• 示例代码：

  @attribute [Authorize]
  @inject Task<AuthenticationState> AuthStateTask
  @inject IMyBusinessService BusinessService
  
  @code {
      protected override async Task OnInitializedAsync()
      {
          var authState = await AuthStateTask;
          var userId = authState.User.FindFirstValue(ClaimTypes.NameIdentifier);
          await BusinessService.ProcessUserRelatedLogic(userId);
      }
  }
  

• 补充：服务器端渲染组件也可通过IHttpContextAccessor获取HttpContext.User，但AuthenticationStateProvider是跨端兼容方案，更适配Auto模式的混合渲染场景。

内容的提问来源于stack exchange，提问作者LUCKYONE