Blazor Server 8 JWT令牌认证授权实现问题求助

一、核心认证配置必须补充的点 #

你的代码里必须添加认证/授权中间件，且注册顺序直接影响功能生效：

1. 中间件注册顺序要求
   在Program.cs的app.Run()之前，按以下顺序添加：

app.UseRouting();
app.UseAuthentication(); // 必须在UseAuthorization之前
app.UseAuthorization();
// 后续添加MapBlazorHub()、MapControllers()等端点配置

2. PersistentAuthenticationStateProvider的JWT适配
   如果你使用Blazor WebAssembly，这个Provider需要负责从本地存储读取令牌并构造认证状态，示例实现：

public class PersistentAuthenticationStateProvider : AuthenticationStateProvider
{
    private readonly Task<AuthenticationState> _anonymousState = 
        Task.FromResult(new AuthenticationState(new ClaimsPrincipal(new ClaimsIdentity())));
    private readonly ILocalStorageService _localStorage; // 需注入本地存储服务（如Blazored.LocalStorage）

    public PersistentAuthenticationStateProvider(ILocalStorageService localStorage)
    {
        _localStorage = localStorage;
    }

    public override async Task<AuthenticationState> GetAuthenticationStateAsync()
    {
        var token = await _localStorage.GetItemAsStringAsync("jwt_token");
        if (string.IsNullOrEmpty(token))
        {
            return _anonymousState;
        }

        // 解析JWT令牌生成ClaimsPrincipal
        var handler = new JwtSecurityTokenHandler();
        var jwtToken = handler.ReadJwtToken(token);
        var claimsIdentity = new ClaimsIdentity(jwtToken.Claims, "JwtAuth");
        
        return Task.FromResult(new AuthenticationState(new ClaimsPrincipal(claimsIdentity)));
    }
}

二、JWT配置的细节检查 #

你的AddJwtBearer配置框架正确，但需确认：

• 确保applicationSettingsConfiguration是正确加载的配置节点（比如builder.Configuration.GetSection("AppConfiguration")），避免config为null导致密钥加载失败。
• Blazor Server场景下，调用后端API时需手动携带令牌：

// 在HttpClient实例中添加Authorization头
httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", token);

三、错误与权限场景修复 #

1. 未认证用户自动跳转登录 #

在App.razor中通过<AuthorizeRouteView>配置跳转逻辑：

<Router AppAssembly="@typeof(App).Assembly">
    <Found Context="routeData">
        <AuthorizeRouteView RouteData="@routeData" DefaultLayout="@typeof(MainLayout)">
            <NotAuthorized>
                @if (!context.User.Identity.IsAuthenticated)
                {
                    <RedirectToLogin />
                }
                else
                {
                    <p>无权限访问此页面</p>
                }
            </NotAuthorized>
        </AuthorizeRouteView>
    </Found>
    <NotFound>
        <LayoutView Layout="@typeof(MainLayout)">
            <Error404 />
        </LayoutView>
    </NotFound>
</Router>

创建RedirectToLogin.razor组件处理跳转：

@inject NavigationManager NavigationManager
@code {
    protected override void OnInitialized()
    {
        var returnUrl = NavigationManager.Uri;
        NavigationManager.NavigateTo($"/login?returnUrl={Uri.EscapeDataString(returnUrl)}");
    }
}

2. 权限拒绝场景处理 #

通过<AuthorizeView>精准控制角色/权限访问：

<AuthorizeView Roles="Admin">
    <Authorized>
        <p>仅管理员可见内容</p>
    </Authorized>
    <NotAuthorized>
        <p>你不是管理员，无法访问此内容</p>
    </NotAuthorized>
</AuthorizeView>

3. 404错误页面优化 #

创建独立的Error404.razor组件：

<h1>404 - 页面未找到</h1>
<p>抱歉，你访问的页面不存在</p>
<a href="/">返回首页</a>

然后在App.razor的<NotFound>节点引用即可（参考上面的Router配置）。

四、调试排查要点 #

• 查看浏览器控制台，确认令牌是否成功存储、请求是否携带正确的Authorization头。
• 用JWT解析工具验证令牌的iss/aud/exp等字段是否与配置一致。
• 检查后端API的认证日志，确认令牌验证环节是否报错。

内容的提问来源于stack exchange，提问作者kyenry