为Blazor.BFF.OpenIDConnect.Template加角色遇403及客户端授权失效

核心问题 #

Blazor WASM客户端的身份声明是通过服务器/api/user端点（即UserController）返回的用户信息构建的，而非直接读取服务器Cookie。之前仅在服务器端OnTokenValidated事件中添加角色声明，客户端无法获取该信息；同时UserController中使用的声明类型不符合Blazor授权系统的默认预期，导致客户端角色识别失败。

步骤1：修正UserController的角色声明类型 #

修改UserController中添加角色的代码，使用标准ClaimTypes.Role作为声明类型，确保客户端授权系统能正确识别：

using System.Security.Claims;

// 原代码修改部分
var claims = claimsPrincipal.FindAll(userInfo.NameClaimType)
    .Select(u => new ClaimValue(userInfo.NameClaimType, u.Value))
    .ToList();
// 替换为标准角色声明类型
claims.Add(new ClaimValue(ClaimTypes.Role, "Administrator"));
userInfo.Claims = claims;

步骤2：客户端授权服务配置（可选，确保一致性） #

在Blazor客户端的Program.cs中显式配置授权服务的角色声明类型，避免因默认值差异导致识别问题：

builder.Services.AddAuthorizationCore(options =>
{
    options.RoleClaimType = ClaimTypes.Role;
});

步骤3：验证客户端声明 #

在Blazor页面中添加调试代码，确认用户声明中已包含角色信息：

<AuthorizeView>
    <Authorized>
        <h4>当前用户声明详情</h4>
        <ul>
            @foreach (var claim in context.User.Claims)
            {
                <li><strong>@claim.Type:</strong> @claim.Value</li>
            }
        </ul>
    </Authorized>
</AuthorizeView>

步骤4：清理冗余配置 #

移除之前在OnTokenValidated事件中添加的硬编码角色声明（仅测试用的话），确保角色信息统一从UserController返回，保持服务器与客户端声明一致。

完成以上配置后，Blazor客户端的<AuthorizeView Roles="Administrator">和@attribute [Authorize(Roles="Administrator")]即可正常生效。

内容的提问来源于stack exchange，提问作者jason