Blazor WASM中HTTP环境下Individual Accounts登录异常问题

问题根源 #

Blazor WASM的Individual Accounts认证默认依赖HTTPS安全机制，包括Cookie的Secure属性和OIDC元数据的HTTPS要求。当手动切换到HTTP后，浏览器会拦截不符合安全规则的Cookie或请求，导致认证流程静默失败，表现为点击登录按钮后仅清空输入框，无任何报错提示。

解决步骤 #

1. 调整Server端Cookie认证配置

在Server项目的Program.cs中，修改Cookie认证的安全策略，允许HTTP环境下使用Cookie：

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = IdentityConstants.ApplicationScheme;
    options.DefaultSignInScheme = IdentityConstants.ExternalScheme;
})
.AddIdentityCookies(options =>
{
    options.ApplicationCookie.Configure(cookie =>
    {
        cookie.Cookie.SecurePolicy = CookieSecurePolicy.None; // 取消Cookie必须HTTPS的限制
        cookie.Cookie.SameSite = SameSiteMode.Lax; // 调整SameSite策略适配HTTP环境
    });
});

2. 配置Identity允许非HTTPS场景

在Server项目的Program.cs中，确保Identity不强制要求已验证账户，并同步Cookie配置：

builder.Services.AddDefaultIdentity<IdentityUser>(options => options.SignIn.RequireConfirmedAccount = false)
    .AddEntityFrameworkStores<ApplicationDbContext>();

3. 修改客户端OIDC认证配置

在Client项目的Program.cs中，关闭OIDC元数据的HTTPS要求：

builder.Services.AddOidcAuthentication(options =>
{
    builder.Configuration.Bind("Local", options.ProviderOptions);
    options.ProviderOptions.RequireHttpsMetadata = false; // 禁用HTTPS元数据校验
    options.ProviderOptions.ResponseType = "code";
});

同时更新Client项目appsettings.json中的认证地址为HTTP：

"Local": {
  "Authority": "http://localhost:5000",
  "ClientId": "BlazorWasmClient",
  "PostLogoutRedirectUri": "http://localhost:5001/authentication/logout-callback",
  "RedirectUri": "http://localhost:5001/authentication/login-callback"
}

4. 检查浏览器开发者工具定位隐藏错误

按F12打开浏览器开发者工具，查看Console标签页的报错信息，以及Network标签页的请求状态，确认是否存在Cookie拦截、请求失败等问题，辅助排查剩余配置漏洞。

5. 配置CORS允许HTTP来源（跨端口场景）

如果客户端与API不在同一端口，需在Server项目Program.cs中配置CORS允许HTTP来源：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowLocalHttp",
        policy => policy.WithOrigins("http://localhost:5001")
                        .AllowAnyHeader()
                        .AllowAnyMethod()
                        .AllowCredentials());
});

// 确保在UseRouting之后、UseAuthorization之前启用CORS
app.UseCors("AllowLocalHttp");

内容的提问来源于stack exchange，提问作者Mariano Desivo