Blazor WASM托管集成Azure AD B2C调用API遇401，需刷新页面？

核心原因 #

登录后首次API调用返回401，刷新后恢复正常，本质是认证状态更新与API调用的时机不匹配，导致首次请求未携带有效访问令牌（Access Token），具体可能由以下场景触发：

具体原因拆解 #

• Http客户端未及时获取登录后的令牌
  Blazor WASM启动时，Http客户端（如通过HttpClientFactory创建的实例）会初始化令牌获取逻辑，但登录操作是后续异步完成的，此时客户端尚未感知到新的认证状态，无法自动注入最新的Access Token。刷新页面时，应用重新启动，客户端初始化时已能读取到缓存中的令牌，因此请求正常。

• 组件生命周期与认证状态同步延迟
  若登录完成后立即触发组件内的API调用（比如在登录回调后直接导航到数据页面），此时AuthenticationStateProvider的认证状态可能还未完成更新通知，组件读取的用户身份仍为未认证状态，导致请求未携带令牌。刷新后组件重新渲染，认证状态已稳定，请求自然携带有效令牌。

• Azure AD B2C令牌缓存写入延迟
  登录完成后，Azure AD B2C返回的令牌需要写入浏览器本地缓存，这个过程存在短暂延迟。首次API调用时缓存尚未就绪，HttpHandler无法读取到令牌；刷新页面时缓存已完成写入，就能正常获取令牌。

• 自定义HttpHandler未监听认证状态变化
  若你自定义了HttpMessageHandler来附加令牌，且未订阅AuthenticationStateProvider.AuthenticationStateChanged事件，那么Handler只会在初始化时获取一次令牌。登录后认证状态更新，但Handler未重新获取令牌，直到刷新页面重新初始化Handler才会拿到有效令牌。

针对性解决方案 #

1. 使用官方推荐的认证HttpHandler
   确保通过BaseAddressAuthorizationMessageHandler绑定Http客户端，它会自动监听认证状态变化并注入最新令牌：

   builder.Services.AddHttpClient("ServerAPI", client => 
       client.BaseAddress = new Uri(builder.HostEnvironment.BaseAddress))
       .AddHttpMessageHandler<BaseAddressAuthorizationMessageHandler>();
   
   builder.Services.AddScoped(sp => 
       sp.GetRequiredService<IHttpClientFactory>().CreateClient("ServerAPI"));
   

2. 等待认证状态就绪后再发起API调用
   在组件中通过AuthenticationStateProvider确认认证状态稳定后，再执行数据加载逻辑：

   protected override async Task OnInitializedAsync()
   {
       var authState = await AuthenticationStateProvider.GetAuthenticationStateAsync();
       if (authState.User.Identity.IsAuthenticated)
       {
           await LoadApiData();
       }
   }
   

3. 检查MSAL认证配置的令牌范围
   确保AddMsalAuthentication中配置了API所需的访问范围，避免因令牌权限不足导致401：

   builder.Services.AddMsalAuthentication(options =>
   {
       builder.Configuration.Bind("AzureAdB2C", options.ProviderOptions.Authentication);
       // 添加你的API访问范围
       options.ProviderOptions.DefaultAccessTokenScopes.Add("https://your-b2c-tenant.onmicrosoft.com/your-api/access_as_user");
   });
   

4. 自定义Handler需监听认证状态变化
   若使用自定义Handler，需订阅认证状态变更事件来更新令牌：

   public class CustomAuthHandler : DelegatingHandler
   {
       private readonly AuthenticationStateProvider _authStateProvider;
       private string _currentToken;
   
       public CustomAuthHandler(AuthenticationStateProvider authStateProvider)
       {
           _authStateProvider = authStateProvider;
           // 订阅状态变化事件
           _authStateProvider.AuthenticationStateChanged += async authState =>
           {
               var state = await authState;
               _currentToken = state.User.FindFirst("access_token")?.Value;
           };
       }
   
       protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
       {
           if (!string.IsNullOrEmpty(_currentToken))
           {
               request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", _currentToken);
           }
           return await base.SendAsync(request, cancellationToken);
       }
   }
   

内容的提问来源于stack exchange，提问作者Sébastien Foucher