Blazor Server端开发环境下如何模拟认证填充User Claims？

问题 #

我有一个Blazor客户端应用，生产版本采用OIDC外部认证。开发时OIDC认证速度慢，每次调试要等15秒还要输入证书PIN码，所以客户端已经实现了模拟的auth state provider来模拟已认证状态和权限。

目前服务器端开发环境允许匿名访问，生产环境通过app.MapControllers().RequireAuthorization();开启权限控制。但服务器端代码里有一段获取用户名的逻辑：

string login = User.Claims.Where(p => p.Type == "preferred_username").First().Value;

这段代码在生产环境正常，但开发环境用模拟认证时会报错“序列不包含任何元素”，因为开发时没有传递令牌，User.Claims是空的。需要在服务器端开发环境也实现模拟认证，让User.Claims填充假数据。

解决方案 #

可以通过在开发环境添加模拟认证中间件来实现，具体步骤如下：

1. 环境判断与服务配置 #

在Program.cs中先判断当前环境，仅在开发环境注入模拟认证服务：

var builder = WebApplication.CreateBuilder(args);
var isDevelopment = builder.Environment.IsDevelopment();

// 其他服务注册...

if (isDevelopment)
{
    // 添加模拟认证方案
    builder.Services.AddAuthentication("MockAuth")
        .AddScheme<AuthenticationSchemeOptions, MockAuthenticationHandler>("MockAuth", _ => { });
}

2. 实现模拟认证处理器 #

创建自定义认证处理器类，填充模拟的用户声明：

public class MockAuthenticationHandler : AuthenticationHandler<AuthenticationSchemeOptions>
{
    public MockAuthenticationHandler(IOptionsMonitor<AuthenticationSchemeOptions> options, 
        ILoggerFactory logger, UrlEncoder encoder, ISystemClock clock) 
        : base(options, logger, encoder, clock)
    {
    }

    protected override Task<AuthenticateResult> HandleAuthenticateAsync()
    {
        // 构造模拟的用户声明，可根据需求自定义
        var claims = new List<Claim>
        {
            new Claim("preferred_username", "dev_test@example.com"),
            new Claim(ClaimTypes.Name, "开发测试用户"),
            new Claim(ClaimTypes.Role, "Admin")
        };

        var identity = new ClaimsIdentity(claims, Scheme.Name);
        var principal = new ClaimsPrincipal(identity);
        var ticket = new AuthenticationTicket(principal, Scheme.Name);

        return Task.FromResult(AuthenticateResult.Success(ticket));
    }
}

3. 中间件与授权规则配置 #

在Program.cs的中间件管道中，根据环境配置认证和授权：

var app = builder.Build();

// 其他中间件（静态文件、路由等）...

if (isDevelopment)
{
    app.UseAuthentication();
    // 开发环境也强制开启授权，和生产环境保持一致逻辑
    app.MapControllers().RequireAuthorization();
}
else
{
    app.UseAuthentication();
    app.UseAuthorization();
    app.MapControllers().RequireAuthorization();
}

app.Run();

额外说明 #

• 配置完成后，开发环境下服务器端的User.Claims会包含你定义的模拟声明，不会再出现空序列错误。
• 可根据测试需求修改MockAuthenticationHandler中的声明内容，比如切换不同测试用户、添加更多权限角色。
• 开发环境强制开启授权，能提前验证权限逻辑，避免生产环境出现环境差异导致的问题。

内容的提问来源于stack exchange，提问作者Dorian