Blazor Server应用：无需IHttpContextAccessor，如何在IAuthorizationHandler中读取HttpContext？

核心结论 #

在Blazor的**授权阶段（属于ASP.NET Core请求管道环节）**使用IHttpContextAccessor是安全的，并不违反微软文档的禁止性要求。

原因分析 #

微软文档中明确禁止的是Blazor组件内部使用IHttpContextAccessor，因为组件运行在ASP.NET Core管道之外，HttpContext可能不可用或不对应启动Blazor应用的请求上下文。但授权逻辑（比如自定义授权策略、授权处理程序）属于经典ASP.NET Core请求处理流程的一部分：

• 授权代码执行在_Host.cshtml之前，完全处于请求管道内，此时的HttpContext明确绑定到当前请求，不存在上下文不匹配或丢失的问题。
• 这个阶段的HttpContext是可靠的，和传统ASP.NET Core应用中的使用场景一致。

优化建议 #

虽然可行，但更推荐通过授权处理程序的参数直接获取HttpContext，而非依赖注入IHttpContextAccessor，更符合框架设计规范：

protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, MyCustomRequirement requirement)
{
    // 从AuthorizationHandlerContext的Resource属性中获取HttpContext
    if (context.Resource is HttpContext httpContext)
    {
        // 在此安全使用httpContext
        var request = httpContext.Request;
        // ... 授权逻辑
    }

    return Task.CompletedTask;
}

注意事项 #

• 仅适用于服务器端Blazor，WebAssembly Blazor不存在服务器端HttpContext，授权逻辑需在客户端或后端API处理。
• 严格限制IHttpContextAccessor的使用范围在授权管道内，进入Blazor组件生命周期后禁止使用。

内容的提问来源于stack exchange，提问作者user15716642