Blazor Server自定义登录与会话超时：基于Claims的实现是否合规？

关于Claim传递过期时间戳的实践判断 #

用Claim存储过期时间戳本身不算不良实践，但有几个需要注意的细节：

• 篡改风险：如果Claims未加密存储，客户端可能篡改过期时间（即便Blazor Server是服务端渲染，若用Cookie承载Claims，仍存在该风险），当前实现仅做解析判断，未验证Claims完整性，存在潜在漏洞。
• 时间一致性：依赖服务器本地时间判断，需确保所有部署节点时间同步，避免时区或时间偏差导致误判。
• 标准性：建议使用官方定义的ClaimTypes.Expiration（对应http://schemas.microsoft.com/ws/2008/06/identity/claims/expiration）替代自定义的ExpirationTimeStamp，更符合身份认证规范，也能兼容默认处理逻辑。

关于Cookie认证方案的异常分析 #

你使用HttpContextAccessor和SignInAsync设置Cookie时登录组件无法显示，大概率是以下原因：

• 路由冲突：类库中登录组件的路由与宿主应用路由重复，或未正确注册组件路由，导致无法渲染。
• 中间件顺序错误：Blazor Server中app.UseAuthentication()必须放在app.UseRouting()之后、app.UseAuthorization()之前，且要早于Blazor Hub中间件配置，否则认证状态无法正确传递到组件。
• Cookie配置问题：若Cookie的SameSite、Secure属性与当前环境不匹配（比如本地HTTP环境设置Secure=true），会导致Cookie无法正常写入，进而引发认证状态异常，影响组件渲染。

ProtectedBrowserStorage的优势 #

ProtectedBrowserStorage（含ProtectedLocalStorage和ProtectedSessionStorage）的核心优势：

• 加密存储：默认通过ASP.NET Core数据保护系统加密内容，避免客户端篡改，比明文Claims更安全。
• 隔离性：存储数据与认证Cookie分离，不会污染ClaimsPrincipal结构，保持身份信息简洁。
• 灵活性：可存储非认证相关的用户状态数据，无需修改Claims结构，适合扩展额外登录状态信息。

优化建议 #

1. 改进Claim过期验证：
   • 改用标准ClaimTypes.Expiration存储过期时间，同时确保Claims经过签名或加密（比如开启Cookie认证的TicketDataFormat加密），防止篡改。
   • 优化时间解析逻辑，用DateTimeOffset.TryParse替代DateTime.TryParse规避时区问题：

     protected override Task<bool> ValidateAuthenticationStateAsync(AuthenticationState authenticationState, CancellationToken cancellationToken)
     {
         ClaimsPrincipal cp = authenticationState.User;
         if (cp.FindFirst(ClaimTypes.Expiration) is Claim expiryClaim)
         {
             if (DateTimeOffset.TryParse(expiryClaim.Value, out var expiryTime))
             {
                 return Task.FromResult(expiryTime > DateTimeOffset.UtcNow);
             }
         }
         return Task.FromResult(false);
     }
     

2. 修复Cookie认证方案：
   • 检查宿主应用中间件顺序，确保UseAuthentication()和UseAuthorization()在UseBlazorFrameworkFiles()、UseRouting()之后，MapBlazorHub()之前。
   • 确保类库登录组件已注册到宿主路由表，比如在宿主Program.cs中添加：

     builder.Services.AddRazorComponents()
         .AddInteractiveServerComponents()
         .AddAdditionalAssemblies(typeof(LoginComponent).Assembly);
     

   • 根据环境调整Cookie配置：

     builder.Services.AddAuthentication(CookieAuthenticationDefaults.AuthenticationScheme)
         .AddCookie(options =>
         {
             options.Cookie.SecurePolicy = builder.Environment.IsDevelopment() 
                 ? CookieSecurePolicy.None 
                 : CookieSecurePolicy.Always;
             options.Cookie.SameSite = SameSiteMode.Lax;
         });
     

3. 选择合适的存储方案：
   • 若需严格的身份过期控制，优先用Cookie认证内置的ExpireTimeSpan配置，它会自动处理票证刷新和过期，无需手动维护过期Claim。
   • 若需存储额外用户状态（比如PIN登录临时信息），搭配ProtectedBrowserStorage，避免非认证信息污染Claims。

内容的提问来源于stack exchange，提问作者Koala163