咨询：Blazor Server部署/IIS回收后用户重认证问题的解决方案

核心原因 #

Blazor Server + Identity本地账户场景下，部署更新后登出主要有两个关键诱因：

1. 数据保护密钥未持久化：默认Identity的Cookie是加密存储的，数据保护密钥默认存在内存中，应用池回收或部署更新后密钥丢失，导致Cookie无法解密，系统判定用户未认证。
2. SignalR连接丢失：Blazor Server依赖SignalR维持客户端与服务器的连接，应用池回收后服务器端会话销毁，即使Cookie有效，也需要正确配置重连逻辑才能自动恢复认证状态。

具体解决方案 #

1. 持久化数据保护密钥

这是解决Cookie失效的核心步骤，把密钥存储到服务器本地文件系统或数据库，确保跨部署/应用池回收时密钥不丢失。
在Program.cs中添加数据保护配置：

builder.Services.AddDataProtection()
    // 替换为服务器上的安全目录，需给应用池身份分配读写权限
    .PersistKeysToFileSystem(new DirectoryInfo(@"D:\BlazorAppDataProtectionKeys"))
    // 固定应用名称，确保不同部署实例使用同一组密钥
    .SetApplicationName("YourBlazorServerApp");

2. 配置持久化Identity Cookie

将默认的会话级Cookie改为持久化，并设置合理的过期时间，确保Cookie本身在部署后仍有效：

builder.Services.ConfigureApplicationCookie(options =>
{
    options.Cookie.HttpOnly = true;
    // 根据业务需求设置过期时间，比如7天
    options.ExpireTimeSpan = TimeSpan.FromDays(7);
    // 用户活动时自动续期Cookie
    options.SlidingExpiration = true;
    // 固定Cookie名称，避免部署时名称变更导致失效
    options.Cookie.Name = ".YourBlazorApp.Identity";
    // 生产环境建议开启Secure，仅HTTPS传输
    // options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
});

3. 优化SignalR重连逻辑

确保Blazor客户端在连接断开后能自动重连并恢复认证状态，修改_Host.cshtml中的Blazor启动脚本：

<script src="_framework/blazor.server.js" autostart="false"></script>
<script>
    Blazor.start({
        reconnectionOptions: {
            maxRetries: 5,
            retryIntervalMilliseconds: 3000
        },
        onReconnected: () => {
            console.log("重新连接成功，已恢复认证状态");
        }
    });
</script>

4. 配置IIS应用池重叠回收

开启IIS应用池的重叠回收，让新进程启动后旧进程再关闭，用户连接可以平滑迁移，减少登出概率：

• 打开IIS管理器，找到目标应用池
• 右键→高级设置→回收→启用重叠回收：设置为True
• 可调整回收时间，避免在业务高峰时段触发回收

内容的提问来源于stack exchange，提问作者Marik