Blazor AuthorizeView：能否在应用层面忽略授权验证？

针对你的需求，有几种比直接写@if更优雅的实现方式，既满足跨应用复用，又能通过配置灵活控制授权验证：

1. 封装自定义授权组件（组件库首选） #

把授权逻辑和配置判断封装成一个可复用的组件，避免在每个业务组件里重复写判断逻辑：

@inject IConfiguration Config
@using Microsoft.AspNetCore.Components.Authorization

@if (IsAuthorizationEnabled)
{
    <AuthorizeView Roles="@RequiredRole">
        <Authorized>@AuthorizedContent</Authorized>
        <NotAuthorized>@NotAuthorizedContent</NotAuthorized>
    </AuthorizeView>
}
else
{
    @AuthorizedContent
}

@code {
    [Parameter, Required] public RenderFragment AuthorizedContent { get; set; }
    [Parameter] public RenderFragment NotAuthorizedContent { get; set; }
    [Parameter] public string RequiredRole { get; set; } = "SomeRole";

    private bool IsAuthorizationEnabled => Config.GetValue<bool>("BlazorComponents:EnableRoleValidation");
}

使用时只需引用这个组件，通过配置项BlazorComponents:EnableRoleValidation控制是否开启授权：

<ConfigurableAuthorizeView RequiredRole="Admin">
    <AuthorizedContent>
        <!-- 授权后展示的内容 -->
    </AuthorizedContent>
    <NotAuthorizedContent>
        <!-- 未授权提示 -->
    </NotAuthorizedContent>
</ConfigurableAuthorizeView>

2. 全局扩展AuthorizationStateProvider #

如果需要全局统一忽略某个角色的验证，可以自定义身份状态提供器，通过配置自动给用户添加所需角色：

public class ConfigurableAuthProvider : RevalidatingServerAuthenticationStateProvider
{
    private readonly IConfiguration _config;

    public ConfigurableAuthProvider(ILoggerFactory loggerFactory, IConfiguration config) 
        : base(loggerFactory)
    {
        _config = config;
    }

    protected override async Task<AuthenticationState> GetAuthenticationStateAsync(CancellationToken cancellationToken)
    {
        var originalState = await base.GetAuthenticationStateAsync(cancellationToken);
        var skipAuth = !_config.GetValue<bool>("BlazorComponents:EnableRoleValidation");

        if (skipAuth)
        {
            // 复制原用户身份，追加所需角色
            var claims = new List<Claim>(originalState.User.Claims)
            {
                new Claim(ClaimTypes.Role, "SomeRole")
            };
            var modifiedIdentity = new ClaimsIdentity(claims, originalState.User.Identity.AuthenticationType);
            var modifiedUser = new ClaimsPrincipal(modifiedIdentity);

            return new AuthenticationState(modifiedUser);
        }

        return originalState;
    }

    protected override TimeSpan RevalidationInterval => TimeSpan.FromMinutes(30);
}

在Program.cs替换默认的身份提供器：

builder.Services.AddScoped<AuthenticationStateProvider, ConfigurableAuthProvider>();

这种方式下，所有使用AuthorizeView Roles="SomeRole"的地方都会自动根据配置判断是否跳过验证，无需修改组件代码。

3. 组件内直接判断配置（简易方案） #

如果只是个别组件需要控制，也可以直接在组件内读取配置做判断，也就是你最初想到的方式：

@inject IConfiguration Config
@using Microsoft.AspNetCore.Components.Authorization

@if (Config.GetValue<bool>("BlazorComponents:EnableRoleValidation"))
{
    <AuthorizeView Roles="SomeRole">
        <Authorized>
            ...授权后内容
        </Authorized>
        <NotAuthorized>
            ...未授权内容
        </NotAuthorized>
    </AuthorizeView>
}
else
{
    ...授权后内容（直接显示）
}

优点是简单直接，但缺点是代码重复，不适合组件库大规模复用。

内容的提问来源于stack exchange，提问作者David