Blazor Server部署IIS后调用Azure REST API认证异常排查

核心问题拆解 #

本地IIS Express运行正常，但部署到IIS服务器后出现以下异常：

• LoginDisplay中通过ContextAccessor获取的用户身份为空
• 调用IDownstreamWebApi时触发login.microsoftonline.com循环重定向
• 手动使用HttpClient携带Bearer头调用Azure API正常，说明令牌本身有效，问题出在IDownstreamWebApi的身份上下文传递逻辑

可能的Program.cs配置问题 #

1. 中间件顺序错误 #

Blazor Server要求认证中间件必须在MapBlazorHub()之前执行，否则Blazor Circuit无法获取用户身份上下文。
错误示例：

app.MapBlazorHub();
app.UseAuthentication();
app.UseAuthorization();

正确顺序：

app.UseAuthentication();
app.UseAuthorization();
app.MapBlazorHub();

2. 缺少HttpContextAccessor服务 #

IDownstreamWebApi依赖当前请求的HttpContext获取用户身份，IIS部署下必须显式注册该服务：

builder.Services.AddHttpContextAccessor();
builder.Services.AddServerSideBlazor()
    .AddCircuitOptions(options => 
    {
        options.DetailedErrors = true; // 调试阶段启用，生产环境可关闭
    });

3. Microsoft Identity Web配置不完整 #

使用AddMicrosoftIdentityWebApp后，需正确配置下游API的令牌获取逻辑，确保关联用户上下文：

builder.Services.AddMicrosoftIdentityWebAppAuthentication(builder.Configuration)
    .EnableTokenAcquisitionToCallDownstreamApi(new[] { "https://management.azure.com/user_impersonation" })
    .AddInMemoryTokenCaches();

本地与IIS部署差异原因 #

1. 托管环境上下文传递差异：IIS Express默认完整传递HttpContext到Blazor Circuit；而IIS服务器可能因站点认证配置冲突（如匿名认证未禁用、Windows身份认证干扰），导致用户身份未绑定到Circuit。
2. HTTPS强制要求：Azure AD回调地址必须使用HTTPS，本地IIS Express自动配置HTTPS，而IIS部署若未配置HTTPS绑定，会导致令牌获取失败，触发重定向循环。
3. 配置加载问题：IIS环境下可能未正确加载appsettings.json中的AzureAD配置（如回调路径与站点URL不匹配），导致令牌获取流程异常。

修复步骤 #

1. 调整Program.cs中间件顺序，确保认证中间件在MapBlazorHub()之前。
2. 注册HttpContextAccessor服务，保证Blazor能获取用户身份上下文。
3. 检查IIS站点配置：
   • 禁用匿名认证，确保仅启用Azure AD相关认证流程
   • 配置HTTPS绑定，站点必须通过HTTPS访问
4. 验证appsettings.json中的AzureAD配置：确保Domain、TenantId、ClientId、CallbackPath与IIS站点URL完全匹配。
5. 优化LoginDisplay.razor的用户身份获取逻辑，改用AuthenticationStateProvider而非直接依赖HttpContextAccessor（Blazor Server中Circuit与HttpContext可能分离）：

@inject AuthenticationStateProvider AuthenticationStateProvider

@code {
    private async Task GetCurrentUser()
    {
        var authState = await AuthenticationStateProvider.GetAuthenticationStateAsync();
        var user = authState.User;
        // 处理用户身份信息
    }
}

内容的提问来源于stack exchange，提问作者JayDee