Blazor Server应用中能否沿用ASP.NET Core手动Cookie认证登录方案？如何实现？

当然可以！你这套ASP.NET Core的Cookie认证方案完全能在Blazor里用——不管是Blazor Server还是Blazor WebAssembly（WASM），不过两者的实现细节略有区别，下面我一步步给你讲清楚。

一、Blazor Server 实现步骤 #

Blazor Server本身就依托于ASP.NET Core托管，和你现有的MVC/Razor Pages认证体系无缝兼容，几乎不用改原有代码：

1. 保留原认证配置（适配.NET 6+写法） #

如果是用.NET 6+的Program.cs（替代原来的Startup.cs），配置逻辑和你原来的一致，只是写法稍作调整，别忘了加上授权服务和中间件：

builder.Services.AddAuthentication(options => {
    options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
}).AddCookie(options => {
    options.LoginPath = "/Account/Login";
    options.LogoutPath = "/Account/LogOut";
    options.ExpireTimeSpan = TimeSpan.FromMinutes(43200); // 1个月有效期
});

// 必须添加授权服务
builder.Services.AddAuthorization();

// 管道中要按顺序添加中间件
app.UseAuthentication();
app.UseAuthorization();

2. 复用原Controller的登录逻辑 #

你原来写的Controller认证代码可以直接用，Blazor Server会自动识别Cookie里的身份信息，不需要额外修改。

3. 在Blazor组件中使用认证授权 #

• 给需要权限的组件添加[Authorize]特性：

@page "/secure-page"
@attribute [Authorize]

<h3>仅登录用户可见的页面</h3>

@code {
    // 组件业务逻辑
}

• 获取当前登录用户信息：注入AuthenticationStateProvider就能拿到用户的Claim信息：

@inject AuthenticationStateProvider AuthStateProvider

<p>当前用户ID：@User.FindFirst(ClaimTypes.NameIdentifier)?.Value</p>
<p>当前用户手机号：@User.FindFirst(ClaimTypes.Name)?.Value</p>

@code {
    private ClaimsPrincipal User { get; set; }

    protected override async Task OnInitializedAsync()
    {
        var authState = await AuthStateProvider.GetAuthenticationStateAsync();
        User = authState.User;
    }
}

二、Blazor WebAssembly（WASM）实现注意点 #

WASM是客户端托管的，需要额外配置来同步服务器端的Cookie身份：

1. 服务器端配置不变 #

保留你原来的认证授权配置，同时确保API端点允许CORS（如果WASM和API不在同一域名下），并且在需要授权的API控制器上添加[Authorize]特性。

2. WASM客户端配置 #

在WASM的Program.cs中添加认证服务，还要自定义一个CookieAuthenticationStateProvider来从Cookie读取身份：

// 添加授权核心服务
builder.Services.AddAuthorizationCore();
// 注入自定义的身份状态提供者
builder.Services.AddScoped<AuthenticationStateProvider, CookieAuthenticationStateProvider>();
// 配置HttpClient，确保请求携带Cookie
builder.Services.AddScoped(sp => new HttpClient { BaseAddress = new Uri(builder.HostEnvironment.BaseAddress) });

自定义的CookieAuthenticationStateProvider代码：

public class CookieAuthenticationStateProvider : AuthenticationStateProvider
{
    private readonly HttpClient _httpClient;

    public CookieAuthenticationStateProvider(HttpClient httpClient)
    {
        _httpClient = httpClient;
    }

    public override async Task<AuthenticationState> GetAuthenticationStateAsync()
    {
        try
        {
            // 调用服务器端的接口获取当前用户信息（比如你可以写一个/Account/GetUser接口返回ClaimsPrincipal）
            var user = await _httpClient.GetFromJsonAsync<ClaimsPrincipal>("Account/GetUser");
            return new AuthenticationState(user ?? new ClaimsPrincipal(new ClaimsIdentity()));
        }
        catch
        {
            // 失败则返回未认证状态
            return new AuthenticationState(new ClaimsPrincipal(new ClaimsIdentity()));
        }
    }

    // 登录/登出后调用这个方法，通知组件更新身份状态
    public void NotifyAuthStateChanged()
    {
        NotifyAuthenticationStateChanged(GetAuthenticationStateAsync());
    }
}

3. WASM组件中的登录/登出逻辑 #

通过HttpClient调用服务器端的Login/Logout接口，成功后通知身份状态更新：

@inject HttpClient Http
@inject CookieAuthenticationStateProvider AuthStateProvider
@inject NavigationManager NavManager

<button @onclick="HandleLogin">登录</button>

@code {
    private async Task HandleLogin()
    {
        // 构造登录参数，替换成你的实际登录模型
        var loginModel = new { Mobile = "13xxxxxxxxx", Password = "your-password" };
        var response = await Http.PostAsJsonAsync("/Account/Login", loginModel);
        
        if (response.IsSuccessStatusCode)
        {
            // 通知组件身份状态已更新
            AuthStateProvider.NotifyAuthStateChanged();
            // 跳转到首页或目标页面
            NavManager.NavigateTo("/");
        }
    }
}

三、通用注意事项 #

• 确保LoginPath和LogoutPath对应的Controller/页面存在，Blazor Server中直接访问即可，WASM中则通过HttpClient调用这些端点。
• Blazor Server的SignalR连接会自动携带Cookie，所以身份验证会在连接建立时自动生效。
• 中间件顺序很重要：UseAuthentication必须放在UseAuthorization之前，否则授权逻辑无法获取到身份信息。

内容的提问来源于stack exchange，提问作者sunboy_sunboy