Blazor Server(Kestrel)中Windows认证失败处理及按需认证问询

一、调整认证与授权配置，取消全局强制认证 #

当前问题的根源是FallbackPolicy = options.DefaultPolicy，这会让所有请求默认要求授权，而授权流程会自动触发认证，导致首次连接就弹出认证或返回401。修改配置如下：

builder.Services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

// 移除全局 fallback 授权策略，改为仅在需要的地方手动添加[Authorize]
builder.Services.AddAuthorization(options =>
{
    // 保留默认策略，但不设置为全局 fallback
    options.DefaultPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
    // 不设置 options.FallbackPolicy，未标记[Authorize]的请求默认允许匿名
});

// 其他中间件配置保持不变
app.UseAuthentication();
app.UseAuthorization();

附带疑问解答：为什么注释掉app.UseAuthorization()后不会触发认证？ #

认证（Authentication）是验证用户身份的过程，授权（Authorization）是判断用户是否有权限访问资源的过程。UseAuthentication()仅让中间件识别请求中的认证信息，但不会主动触发认证流程——只有当授权逻辑（如[Authorize]属性、授权策略）要求验证用户身份时，才会触发认证。注释掉UseAuthorization()后，没有逻辑触发身份验证，因此GetClaimsPrincipal返回未认证用户。

二、延迟认证到特定页面/按钮触发 #

1. 对特定页面启用认证 #

在需要认证的Blazor页面组件上添加[Authorize]属性，用户访问该页面时才会触发认证：

@page "/secured-page"
@attribute [Authorize]

<h3>仅认证用户可见的页面</h3>

用户访问该页面时，系统自动触发Windows认证流程，未认证用户会触发401（后续可自定义处理）。

2. 通过按钮手动触发认证 #

若需通过按钮点击主动触发认证，可创建后端API端点触发认证，再由Blazor客户端调用：

步骤1：创建API控制器

[ApiController]
[Route("api/auth")]
public class AuthController : ControllerBase
{
    [HttpGet("trigger-windows-auth")]
    [Authorize] // 此属性触发Windows认证
    public IActionResult TriggerWindowsAuth()
    {
        return Ok(new 
        { 
            UserName = User.Identity?.Name, 
            IsAuthenticated = User.Identity?.IsAuthenticated 
        });
    }
}

步骤2：在Blazor组件中调用端点

@page "/"
@inject HttpClient Http
@inject NavigationManager NavManager
@inject AuthenticationStateProvider AuthStateProvider

<button @onclick="TriggerAuthentication">点击登录（Windows认证）</button>

@if (currentUser != null)
{
    <p>已登录用户：@currentUser.UserName</p>
}

@code {
    private UserInfo? currentUser;

    private async Task TriggerAuthentication()
    {
        try
        {
            currentUser = await Http.GetFromJsonAsync<UserInfo>("api/auth/trigger-windows-auth");
            // 刷新用户身份状态
            await AuthStateProvider.GetAuthenticationStateAsync();
            // 导航到受保护页面
            NavManager.NavigateTo("/secured-page");
        }
        catch (HttpRequestException ex)
        {
            // 处理认证失败，比如提示用户重试
            Console.WriteLine("认证失败：" + ex.Message);
        }
    }

    private class UserInfo
    {
        public string? UserName { get; set; }
        public bool? IsAuthenticated { get; set; }
    }
}

三、处理认证失败，允许Blazor页面正常运行 #

1. 配置状态码页面，避免401阻断初始加载 #

修改状态码页面配置，确保Blazor根路径允许匿名，且自定义401响应：

// 在 UseRouting() 之后、UseAuthorization() 之前添加
app.UseStatusCodePages(async context =>
{
    var response = context.HttpContext.Response;
    if (response.StatusCode == 401)
    {
        response.ContentType = "text/plain";
        await response.WriteAsync("认证失败，请点击登录按钮重试或检查域账号权限。");
    }
});

// 确保Blazor入口页面允许匿名访问
app.MapFallbackToFile("index.html").AllowAnonymous();

2. 在Blazor组件中用AuthorizedView控制访问 #

使用AuthorizedView区分认证/未认证用户的显示内容，即使认证失败也能正常加载页面：

@page "/"
@inject HttpClient Http
@inject AuthenticationStateProvider AuthStateProvider

<AuthorizedView>
    <Authorized>
        <p>欢迎，@context.User.Identity?.Name！</p>
        <a href="/secured-page">访问受保护页面</a>
    </Authorized>
    <NotAuthorized>
        <p>您尚未登录</p>
        <button @onclick="TriggerAuthentication">点击进行Windows认证</button>
    </NotAuthorized>
</AuthorizedView>

@code {
    private async Task TriggerAuthentication()
    {
        try
        {
            await Http.GetFromJsonAsync<UserInfo>("api/auth/trigger-windows-auth");
            await AuthStateProvider.GetAuthenticationStateAsync();
        }
        catch (Exception ex)
        {
            Console.WriteLine("认证失败：" + ex.Message);
        }
    }

    private class UserInfo { /* 同上定义 */ }
}

内容的提问来源于stack exchange，提问作者M.M