Blazor Server控制器Azure AD授权失效问题求助

问题根源 #

Blazor Server里，页面的@attribute [Authorize]是依托SignalR连接的上下文完成授权，而用IHttpClientFactory调用控制器时，默认的HttpClient不会自动携带当前用户的Azure AD访问令牌。直接在浏览器地址栏调用API时，浏览器会自动发送身份Cookie，所以授权能生效；但服务器端发起的HttpClient请求没带令牌，就会被引导重新登录。

解决步骤 #

1. 给HttpClient配置自动携带令牌 #

在Program.cs里配置HttpClient时，添加消息处理器，让它自动获取并附加用户的访问令牌到请求头：

builder.Services.AddHttpClient("ApiClient", client =>
{
    client.BaseAddress = new Uri(builder.Configuration["ApiBaseUrl"]); // 替换为你的API基础地址
})
.AddHttpMessageHandler<AuthorizationMessageHandler>();

// 配置令牌处理器
builder.Services.AddScoped<AuthorizationMessageHandler>(sp =>
{
    var tokenProvider = sp.GetRequiredService<IAccessTokenProvider>();
    // 替换成你的Azure AD API的权限范围
    var handler = tokenProvider.CreateAuthorizationMessageHandler(new[] { "api://你的API客户端ID/access_scope" });
    handler.InnerHandler = new HttpClientHandler();
    return handler;
});

2. 确认授权策略配置无误 #

检查Program.cs里App.Users策略的定义，确保它要求的Claims或角色在用户的Azure AD令牌中存在：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("App.Users", policy =>
    {
        // 示例：要求用户拥有App.User角色，根据你的实际策略调整
        policy.RequireClaim("http://schemas.microsoft.com/ws/2008/06/identity/claims/role", "App.User");
    });
});

同时要确认Azure AD应用注册中，已将对应的角色或权限范围分配给目标用户，确保令牌能包含这些声明。

3. 使用配置好的命名HttpClient调用API #

在Blazor组件中，必须使用刚才配置的命名HttpClient（比如示例中的"ApiClient"），不能用默认的HttpClient：

@inject IHttpClientFactory HttpClientFactory

private async Task CallControllerApi()
{
    var apiClient = HttpClientFactory.CreateClient("ApiClient");
    var response = await apiClient.GetAsync("/api/你的控制器名称");
    // 后续响应处理逻辑
}

4. 避免依赖Cookie传递身份（可选） #

如果控制器原本依赖Cookie授权，服务器端的HttpClient请求无法自动携带Cookie，更推荐改为依托JWT令牌授权。若必须支持Cookie，可在Program.cs中添加Cookie授权配置，但这种方式容易引发上下文问题，不建议优先使用：

builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(builder.Configuration.GetSection("AzureAd"))
    .EnableTokenAcquisitionToCallDownstreamApi()
    .AddInMemoryTokenCaches();

// 额外添加Cookie授权支持
builder.Services.AddAuthentication()
    .AddCookie(CookieAuthenticationDefaults.AuthenticationScheme);

内容的提问来源于stack exchange，提问作者Jens Chr. I. Thomsen