Blazor独立式PWA基于AAD的离线认证/授权问题咨询

我之前踩过类似的Blazor PWA离线认证坑，结合你的.NET 5.0 + Azure AD SPA场景，给你梳理几个关键的排查点和解决方案：

1. 确认MSAL缓存配置是否适配离线场景 #

虽然你把令牌存在了localStorage，但MSAL默认的缓存策略可能没有完全适配离线环境。需要在AddMsalAuthentication中明确配置缓存存储方式，并禁用Cookie依赖：

builder.Services.AddMsalAuthentication(options =>
{
    builder.Configuration.Bind("AzureAd", options.ProviderOptions.Authentication);
    options.ProviderOptions.DefaultAccessTokenScopes.Add("your-required-scope");
    
    // 强制使用localStorage存储令牌，避免依赖Cookie
    options.ProviderOptions.Cache.CacheLocation = "localStorage";
    options.ProviderOptions.Cache.StoreAuthStateInCookie = false;
});

这个配置能确保MSAL完全基于localStorage读取令牌，而不是尝试通过Cookie或在线请求恢复状态。

2. 扩展Service Worker的请求拦截范围 #

你只处理了openid-configuration请求，但离线时MSAL还会尝试访问其他Azure AD端点（比如令牌验证端点、用户信息端点）。需要在Service Worker的fetch事件中，把这些相关请求都加入缓存拦截：

self.addEventListener('fetch', (event) => {
    const url = new URL(event.request.url);
    // 拦截所有Azure AD认证相关域名的请求
    if (url.hostname.includes('login.microsoftonline.com') || url.hostname.includes('graph.microsoft.com')) {
        event.respondWith(
            caches.match(event.request)
                .then(cachedResponse => {
                    // 离线返回缓存，在线时自动缓存新响应
                    return cachedResponse || fetch(event.request).then(response => {
                        return caches.open('auth-resources').then(cache => {
                            cache.put(event.request, response.clone());
                            return response;
                        });
                    });
                })
        );
    }
});

记得在PWA首次在线时，让Service Worker提前缓存这些认证资源，避免离线时无缓存可用。

3. 自定义认证状态恢复逻辑 #

Blazor默认的AuthenticationStateProvider在离线时仍会尝试向Azure AD发起请求来恢复状态，这会导致失败。你可以自定义一个状态提供器，直接从localStorage读取令牌并构造认证状态：

public class OfflineFriendlyAuthStateProvider : AuthenticationStateProvider
{
    private readonly IJSRuntime _jsRuntime;

    public OfflineFriendlyAuthStateProvider(IJSRuntime jsRuntime)
    {
        _jsRuntime = jsRuntime;
    }

    public override async Task<AuthenticationState> GetAuthenticationStateAsync()
    {
        // 离线时直接从localStorage读取MSAL存储的ID令牌
        var idToken = await _jsRuntime.InvokeAsync<string>("localStorage.getItem", "msal.idtoken");
        
        if (!string.IsNullOrEmpty(idToken))
        {
            // 解析JWT令牌中的Claims，构造认证用户
            var claims = ParseClaimsFromJwt(idToken);
            var identity = new ClaimsIdentity(claims, "Bearer");
            var user = new ClaimsPrincipal(identity);
            return new AuthenticationState(user);
        }
        
        return new AuthenticationState(new ClaimsPrincipal());
    }

    // 简易JWT解析方法（仅用于离线场景，生产环境建议用官方JWT库）
    private IEnumerable<Claim> ParseClaimsFromJwt(string jwt)
    {
        var payload = jwt.Split('.')[1];
        payload = payload.Replace('-', '+').Replace('_', '/');
        payload = payload.PadRight(payload.Length + (4 - payload.Length % 4) % 4, '=');
        
        var jsonBytes = Convert.FromBase64String(payload);
        var claimsDict = JsonSerializer.Deserialize<Dictionary<string, object>>(jsonBytes);
        
        return claimsDict.Select(kvp => new Claim(kvp.Key, kvp.Value.ToString()));
    }
}

然后在Program.cs中替换默认的状态提供器：

builder.Services.AddScoped<AuthenticationStateProvider, OfflineFriendlyAuthStateProvider>();

这样离线时就能直接读取本地令牌恢复认证状态，无需依赖Azure AD的在线请求。

4. 检查Azure AD应用注册配置 #

确保你的Azure AD应用是SPA类型，并且在"身份验证"设置中启用了"允许公共客户端流"——Blazor独立式PWA属于公共客户端，这个配置必须开启，否则MSAL无法正确处理令牌缓存。

另外要注意令牌的过期时间：离线时无法刷新令牌（刷新需要和Azure AD通信），所以如果令牌过期，离线认证必然失败。可以考虑在令牌快过期时提醒用户在线刷新，或者调整令牌有效期（不推荐，需权衡安全性）。

总结 #

Blazor独立式PWA是可以实现离线Azure AD认证的，你的问题大概率是遗漏了缓存范围扩展或自定义认证状态恢复的配置。按照上面的步骤调整后，应该能解决离线登录失败的问题。

内容的提问来源于stack exchange，提问作者Eweol