MAUI Blazor混合应用Identity+API安全登录实现及登录异常排查

我现有一个基于Blazor Server的Web应用，已通过Identity（DbContext、ApplicationUser）实现用户登录注册功能。现在正在为MAUI Blazor混合移动应用开发部署在Azure App Service上的.NET Core 7.0 Web API，该API负责处理登录及数据库交互，移动应用将复用同一SQL数据库和Identity登录体系。

我有两个核心问题：

1. 如何保障MAUI应用的安全性，并通过Identity与该API实现登录功能？
2. 当前MAUI应用调用登录API时返回InternalServerError，但其他API端点可正常工作；通过Swagger测试登录接口时，输入正确账号密码能正常返回成功结果，这是什么原因？

相关代码 #

API登录方法代码 #

public static async Task<IResult> LoginUser(UserLoginModel user, SignInManager<ApplicationUser> signInManager)
{
    if (signInManager != null)
    {
        try
        {
            var result = await signInManager.PasswordSignInAsync(user.Email, user.Password, user.RememberMe, lockoutOnFailure: true);
            if (result.Succeeded)
            {
                return Results.Ok(result);
            }

            if (result.IsLockedOut)
            {
                return Results.Unauthorized();
            }
            else
            {
                return Results.Problem("Invalid Login");
            }
        }
        catch (Exception ex)
        {
            return Results.Problem(ex.Message);
        }
    }
    else
        return Results.Problem("sign in is null");
}

API端点配置代码 #

app.MapPost(pattern: "Users/Login/{userloginnmodel}", 
Login.LoginUser);

UserLoginModel定义代码 #

public class UserLoginModel
{
    public string Email { get; set; }
    public string Password { get; set; }
    public bool RememberMe { get; set; }
}

MAUI应用登录调用代码 #

public class UserData : IUserData
{
    public async Task<HttpResponseMessage> Login(UserLoginModel userloginmodel)
    {
        try
        {
            using (var httpClient = new HttpClient())
            {
                using (var request = new HttpRequestMessage(new HttpMethod("POST"), "https://..../Users/Login/{userloginmodel}"))
                {
                    request.Headers.TryAddWithoutValidation("accept", "*/*");  
                    request.Content = new StringContent(JsonConvert.SerializeObject(userloginmodel), Encoding.UTF8);
                    request.Content.Headers.ContentType = MediaTypeHeaderValue.Parse("application/json");
                    var response = await httpClient.SendAsync(request);
                    return response;
                }
            }
        }
        catch
        {
            return new HttpResponseMessage(HttpStatusCode.InternalServerError);
        }
    }
}

一、解决MAUI调用登录API返回InternalServerError的问题 #

问题根源在于路由配置和请求URL不匹配：

1. API端点错误：你配置的路由"Users/Login/{userloginnmodel}"把UserLoginModel当作路由参数，但实际应该从请求体接收这个模型，不需要路由参数。
2. MAUI请求URL错误：代码中写的"{userloginmodel}"是未替换的占位符，导致请求路径无效，触发500错误。

修复步骤：

1. 修改API端点配置，移除多余的路由参数：

app.MapPost(pattern: "Users/Login", Login.LoginUser);

2. 给API方法参数添加[FromBody]特性，明确从请求体绑定模型：

public static async Task<IResult> LoginUser([FromBody] UserLoginModel user, SignInManager<ApplicationUser> signInManager)

3. 修改MAUI的请求URL，去掉占位符：

using (var request = new HttpRequestMessage(new HttpMethod("POST"), "https://..../Users/Login"))

二、MAUI应用安全性与Identity登录实现方案 #

1. 切换到JWT令牌认证 #

SignInManager.PasswordSignInAsync是为Web应用的Cookie认证设计的，不适合API场景。API应使用JWT令牌实现无状态认证：

• API端配置JWT：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
        };
    });

// 启用认证和授权中间件
app.UseAuthentication();
app.UseAuthorization();

• 修改登录API生成JWT：

public static async Task<IResult> LoginUser([FromBody] UserLoginModel user, UserManager<ApplicationUser> userManager, IConfiguration config)
{
    var appUser = await userManager.FindByEmailAsync(user.Email);
    if (appUser != null && await userManager.CheckPasswordAsync(appUser, user.Password))
    {
        var authClaims = new List<Claim>
        {
            new Claim(ClaimTypes.Name, appUser.UserName),
            new Claim(ClaimTypes.Email, appUser.Email),
            new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
        };

        var authSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(config["Jwt:Key"]));
        var token = new JwtSecurityToken(
            issuer: config["Jwt:Issuer"],
            audience: config["Jwt:Audience"],
            expires: DateTime.Now.AddHours(3),
            claims: authClaims,
            signingCredentials: new SigningCredentials(authSigningKey, SecurityAlgorithms.HmacSha256)
        );

        return Results.Ok(new
        {
            token = new JwtSecurityTokenHandler().WriteToken(token),
            expiration = token.ValidTo
        });
    }
    return Results.Unauthorized();
}

• MAUI端处理令牌：登录成功后，将JWT存储在SecureStorage（安全存储）中，后续请求在请求头添加Authorization: Bearer {token}。

2. MAUI应用安全强化措施 #

• 令牌安全存储：使用SecureStorage存储JWT，避免明文存在本地文件或SharedPreferences。
• 强制HTTPS：所有API请求必须使用HTTPS，防止数据被窃听篡改。
• 令牌刷新机制：实现刷新令牌逻辑，在令牌过期前自动获取新令牌，提升用户体验。
• API权限控制：API端用[Authorize]特性保护需要认证的接口，MAUI端限制未登录用户访问敏感功能。
• 输入验证：MAUI端对邮箱、密码等输入做前置验证，减少无效请求。

内容的提问来源于stack exchange，提问作者KenNipper