Blazor中AuthenticationState是否安全？相关最佳实践咨询

一、当前实现的安全性 #

你的实现整体是安全的，用户无法直接篡改authstate中的UserId：

• 在Blazor Server中，默认的ServerAuthenticationStateProvider从服务器端HttpContext.User生成AuthenticationState，而HttpContext.User来自加密后的认证凭证（如Cookie、JWT），这类凭证由服务器签名/加密，客户端无法篡改内容。
• 在Blazor WASM中，若使用官方Microsoft Identity认证方案，AuthenticationState由浏览器存储的加密认证令牌解析而来，令牌带有服务器签名，篡改后会触发验证失败，无法生成有效AuthenticationState。

仅当你自定义的AuthenticationStateProvider存在漏洞时，才可能出现篡改风险，官方默认实现无此问题。

二、最佳实践 #

1. 直接提取可信用户标识 #

不要传递整个AuthenticationState到服务，而是从中提取明确的用户Claim（比如Microsoft用户的ObjectIdentifier），逻辑更清晰且避免冗余数据传递：

@code 
{
    var authState = await AuthenticationStateProvider.GetAuthenticationStateAsync();
    var userId = authState.User.FindFirst("http://schemas.microsoft.com/identity/claims/objectidentifier")?.Value;
    if (userId == null)
    {
        // 处理未认证或无有效标识的场景
        return;
    }
    var s = await Service.GetSensitiveInfo(userId);
}

2. 服务端强制权限校验 #

在GetSensitiveInfo方法中，不能仅依赖传入的UserId，需额外验证：

• 确认该UserId对应的用户存在于数据库；
• 确保当前请求用户拥有访问目标敏感信息的权限（防止越权访问他人数据）。
  示例代码：

public async Task<SensitiveInfo> GetSensitiveInfo(string userId)
{
    // 先验证用户合法性
    var user = await _dbContext.Users.FindAsync(userId);
    if (user == null)
    {
        throw new UnauthorizedAccessException("无效用户");
    }
    // 仅查询当前用户的敏感数据
    return await _dbContext.SensitiveInfos.FirstOrDefaultAsync(s => s.UserId == userId);
}

3. 敏感逻辑移至后端（针对Blazor WASM） #

若为Blazor WASM应用，敏感数据查询必须放在后端API中，客户端仅负责调用API。避免客户端代码被反编译后泄露敏感逻辑。

4. 使用强类型Claim常量 #

不要硬编码Claim类型字符串，使用官方定义的常量或自定义常量类，避免拼写错误：

using System.Security.Claims;

// 通用用户标识
var userId = authState.User.FindFirst(ClaimTypes.NameIdentifier)?.Value;
// Microsoft特定的ObjectIdentifier
var objectId = authState.User.FindFirst("http://schemas.microsoft.com/identity/claims/objectidentifier")?.Value;

5. 保障凭证传输安全 #

• 全程启用HTTPS，防止认证凭证在传输中被窃听；
• Blazor WASM场景使用短期Access Token访问API，降低令牌泄露风险。

内容的提问来源于stack exchange，提问作者J J