同浏览器标签页下，不同Blazor Server应用间ProtectedBrowserStorage传数据失败？

核心问题 #

你遇到的情况本质是两个独立Blazor Server应用之间的跨站点存储隔离，加上ProtectedBrowserStorage的密钥独立性导致的：

1. 同源策略限制：浏览器的SessionStorage（包括ProtectedSessionStorage）遵循同源规则，只有协议、域名、端口完全一致的应用才能共享存储数据。哪怕是同一服务器上的独立应用，只要URL的任一部分不同，就属于不同站点，无法互相访问对方的存储内容。
2. 加密密钥不共享：每个Blazor Server应用会自动生成专属的数据保护密钥，用来加密ProtectedBrowserStorage中的数据。就算绕过同源策略拿到数据，另一个应用用自己的密钥也无法解密，最终返回null。

可行解决方案 #

1. 统一身份认证系统（推荐） #

让两个应用接入同一套内部身份认证服务（比如ASP.NET Core Identity、Identity Server），用户登录后，目标应用可以通过认证令牌直接从认证服务获取用户信息，不用手动传递存储数据。这是最安全、可扩展的方案，适合多内部应用的场景。

2. 共享数据保护密钥（仅限同源应用） #

如果两个应用部署在同一域名的不同子路径下（比如https://internalapp.com/app1和https://internalapp.com/app2），可以配置它们使用同一个数据保护密钥存储：

• 在两个应用的Program.cs中配置共享密钥存储位置（比如共享文件夹、SQL Server）：

builder.Services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo(@"\\shared-server\keys"))
    .SetApplicationName("InternalApps");

这样两个应用用同一套密钥加密解密，同时因为同源，SessionStorage可以互通。

3. 加密URL参数传递 #

跳转时将用户数据加密后作为URL参数传递，目标应用接收后解密：

• 源应用加密数据：

private async Task GoToBlaBlaApp_Click()
{
    // 用数据保护服务加密用户数据
    var encryptedUser = _dataProtector.Protect(JsonSerializer.Serialize(user));
    UriHelper.NavigateTo($"https://blabla/blabla/blabla?user={Uri.EscapeDataString(encryptedUser)}");
}

• 目标应用接收解密：

protected override async Task OnInitializedAsync()
{
    var encryptedUser = NavigationManager.GetQueryString("user");
    if (!string.IsNullOrEmpty(encryptedUser))
    {
        var userJson = _dataProtector.Unprotect(Uri.UnescapeDataString(encryptedUser));
        users = JsonSerializer.Deserialize<List<UserModel>>(userJson);
    }
}

注意：URL长度有限制，用户数据不能过大，且必须加密避免敏感信息泄露。

4. 共享Cookie（限同父域名） #

如果两个应用是同一父域名下的子域名（比如app1.internal.com和app2.internal.com），可以配置共享Cookie：

• 在两个应用的Program.cs中配置Cookie的domain属性为父域名：

builder.Services.ConfigureApplicationCookie(options =>
{
    options.Cookie.Domain = ".internal.com";
    // 其他配置：过期时间、路径等
});

同时共享数据保护密钥，将用户数据加密存储在Cookie中，两个应用就能读取到相同的Cookie内容。

内容的提问来源于stack exchange，提问作者A1raa