Blazor WASM用户声明权限问题：页面无法读取CanViewContract声明

问题根源 #

API端权限验证正常，但Blazor端无法读取ViewContract声明，核心原因是服务端未将该声明包含在返回给前端的身份令牌（id_token）或访问令牌（access_token）中。Blazor WASM的AddApiAuthorization()依赖令牌中的声明完成客户端授权验证，因此前端无法获取到目标声明时就会触发未授权错误。

解决方案 #

1. 服务端配置：将ViewContract声明加入IdentityServer的用户声明列表 #

修改服务端AddAuthorizationAndAuthentication方法中的AddApiAuthorization配置，把ViewContract添加到Identity资源和API资源的用户声明集合中：

services.AddIdentityServer()
    .AddApiAuthorization<ApplicationUser, ApplicationDbContext>(opt =>
    {
        opt.IdentityResources["openid"].UserClaims.Add("role");
        opt.IdentityResources["openid"].UserClaims.Add("ViewContract"); // 新增该行
        opt.ApiResources.Single().UserClaims.Add("role");
        opt.ApiResources.Single().UserClaims.Add("ViewContract"); // 新增该行
    });

修改后，IdentityServer生成令牌时会自动包含ViewContract声明，Blazor端就能正常读取。

2. 确认用户已持有目标声明 #

检查数据库AspNetUserClaims表，确保对应用户存在类型为ViewContract、值为true的记录；如果是通过角色关联声明，需确认角色到声明的映射逻辑正确。

3. 清除缓存并重新登录 #

旧令牌可能已被浏览器缓存，清除本地存储或Cookie后重新登录，确保获取到包含新声明的有效令牌。

4. 验证Blazor端授权策略（可选） #

你的Blazor端授权策略配置已经与服务端一致，无需修改：

builder.Services.AddAuthorizationCore(options =>
options.AddPolicy("CanViewContract", policy => policy.RequireClaim("ViewContract", "true")));

验证方法 #

在Blazor页面中添加以下代码，打印当前用户的所有声明，确认ViewContract是否成功加载：

@inject AuthenticationStateProvider AuthState

@code {
    protected override async Task OnInitializedAsync()
    {
        var authState = await AuthState.GetAuthenticationStateAsync();
        var user = authState.User;
        foreach (var claim in user.Claims)
        {
            Console.WriteLine($"{claim.Type}: {claim.Value}");
        }
    }
}

若控制台输出中出现ViewContract: true，说明声明已正确加载，页面授权即可正常生效。

内容的提问来源于stack exchange，提问作者Ahmed Elshorbagy