Blazor Server应用中获取已登录用户身份的技术问询

1. 是否应当使用这三类对象？ #

完全应当，三类对象各司其职，是Blazor Server结合ASP.NET Identity开发的常规方案：

• AuthenticationState：核心用于权限校验场景，比如判断用户是否登录、是否属于指定角色，配合AuthorizeView组件或[Authorize]属性使用，是框架原生的权限判断入口。
• IdentityUser：ASP.NET Identity的标准用户实体，封装了基础用户属性（邮箱、手机号、密码哈希等），是身份系统的核心对象，处理登录、注册等身份操作必须依赖它。
• 自定义User对象：用于扩展业务专属的用户信息（比如昵称、头像、业务权限字段），通过与IdentityUser.Id关联，实现身份系统与业务数据的解耦，是业务扩展的常规方式。

2. 是否需要配置AuthenticationStateProvider.AuthenticationStateChanged事件？ #

需要，但分场景使用：

• 若应用中用户状态可能发生动态变更（比如用户修改自身信息、管理员调整用户角色、登录状态切换），订阅该事件可以在状态变更时自动重新拉取IdentityUser和自定义User对象，避免组件重复查询数据库，同时保证数据实时性。
• 若用户状态基本固定，仅在初始化时获取一次，也可以不用订阅，但要注意组件刷新时可能需要重新查询。
• 注意：订阅事件时必须在组件销毁时取消订阅（比如在Dispose方法中），防止内存泄漏。

3. 会话级对象应存储在哪里？ #

Blazor Server中推荐以下两种存储方式：

• Scoped服务：Blazor Server中每个SignalR连接对应一个Scoped生命周期，将用户对象存储在注入的Scoped服务中，可实现跨组件共享，且每个用户连接独立隔离，不会互相干扰。
• 自定义AuthenticationStateProvider：扩展框架原生的AuthenticationStateProvider，在获取AuthenticationState时缓存IdentityUser和自定义User对象，后续直接从缓存读取，无需重复查询数据库。
• 不建议使用传统HttpContext.Session：Blazor Server的SignalR连接不会每次请求都携带Session Cookie，容易出现Session丢失或不一致的问题。

4. 上述GetUser()方法是否为最优方式？ #

不是，存在可优化点：

• Claim类型匹配更严谨：不要用Contains("nameidentifier")，直接使用ClaimTypes.NameIdentifier常量，避免匹配到其他包含该字符串的自定义Claim类型。
• 使用UserManager封装方法：ASP.NET Identity提供的UserManager<IdentityUser>.FindByIdAsync()方法已经封装了数据库查询逻辑，还支持内置缓存（若配置了Identity缓存），比直接操作DbContext更规范。
• 优化后的代码示例：

private readonly UserManager<IdentityUser> _userManager;
private readonly Task<AuthenticationState> _authenticationStateTask;

// 通过构造函数注入UserManager和AuthenticationStateTask
public YourComponent(UserManager<IdentityUser> userManager, AuthenticationStateProvider authStateProvider)
{
    _userManager = userManager;
    _authenticationStateTask = authStateProvider.GetAuthenticationStateAsync();
}

private async Task<IdentityUser?> GetUser()
{
    var authState = await _authenticationStateTask;
    var userId = authState.User.FindFirstValue(ClaimTypes.NameIdentifier);
    
    return userId != null ? await _userManager.FindByIdAsync(userId) : null;
}

遗漏的相关要点 #

• 权限判断优先用框架原生方案：尽量使用AuthorizeView组件、[Authorize]属性或AuthorizationService进行权限校验，而非手动解析AuthenticationState，更符合框架设计规范，也能避免重复造轮子。
• 关联查询优化：自定义User对象与IdentityUser是一对一关系时，可在查询IdentityUser时通过Include方法一次性关联查询自定义User数据，减少数据库往返次数。
• 异步操作注意事项：在组件中获取用户数据时，应在OnInitializedAsync等异步生命周期方法中执行，避免在同步方法中调用异步方法导致死锁。
• 缓存失效机制：若缓存了用户对象，需在用户信息更新时主动刷新缓存（比如修改用户信息后调用AuthenticationStateProvider.NotifyAuthenticationStateChanged()），保证数据一致性。
• 重连场景处理：Blazor Server用户断开SignalR连接重连后，会重新创建Scoped服务实例，需确保用户数据能重新加载，避免出现空引用问题。

内容的提问来源于stack exchange，提问作者David Thielen