.NET托管Blazor WASM调用HttpClient.GetAsync遇401，浏览器访问正常

1. 为什么Blazor WASM调用API返回401，浏览器访问正常？ #

核心原因是浏览器会自动处理Windows身份验证的凭据传递（如NTLM或Kerberos协议），但Blazor WebAssembly的HttpClient默认不会主动发送用户的Windows凭据：

• 浏览器直接访问时，若API启用Windows身份验证，浏览器会自动使用当前登录用户的域凭据（或弹出身份验证对话框），并在请求头中携带身份验证信息，API能识别并允许访问。
• Blazor WASM运行在浏览器沙箱中，默认的HttpClient实例不会附带用户的Windows凭据，导致API接收到无身份信息的请求，返回401未授权状态。
• 额外可能的CORS配置问题：若API的CORS策略未开启AllowCredentials，即使Blazor尝试发送凭据，浏览器也会拦截请求，最终触发401。

2. 能否使用GetAsync向API传递Windows凭据？ #

可以，需完成以下两步配置：

步骤1：配置API的CORS策略 #

在API的Program.cs中，确保CORS策略允许凭据传递，并指定Blazor应用的源地址：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowBlazorApp", policy =>
    {
        policy.WithOrigins("https://your-blazor-app-domain.com") // 替换为你的Blazor应用地址
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 关键：允许传递凭据
    });
});

// 启用CORS中间件
app.UseCors("AllowBlazorApp");

同时确保API所在的IIS站点已启用Windows身份验证，并禁用匿名身份验证。

步骤2：配置Blazor WASM的HttpClient #

在Blazor WASM的Program.cs中，配置HttpClientHandler以自动发送默认Windows凭据：

builder.Services.AddScoped(sp =>
{
    var handler = new HttpClientHandler
    {
        UseDefaultCredentials = true // 启用发送当前用户的Windows凭据
    };
    return new HttpClient(handler)
    {
        BaseAddress = new Uri("https://some.url.com/") // 替换为你的API基地址
    };
});

之后在组件中注入HttpClient，调用GetAsync时请求会自动携带Windows凭据：

@inject HttpClient Http

@code {
    private async Task LoadData()
    {
        var response = await Http.GetAsync("api/your-endpoint");
        // 处理响应逻辑
    }
}

注意：该方案仅适用于企业内部域环境，依赖浏览器对Windows身份验证的原生支持，且Blazor应用与API需处于可信域范围内。

内容的提问来源于stack exchange，提问作者Mark Davich