Blazor Server全局授权后如何配置个别匿名访问页面？

问题根源 #

你在hosts.cshtml中添加的@attribute [Authorize]是全局预渲染阶段的授权拦截，会在Blazor路由解析具体页面之前就要求用户授权，导致页面上的[AllowAnonymous]属性根本没机会被识别，所以直接设置无效。

解决方案 #

需要调整全局授权的实现位置，把授权逻辑从hosts.cshtml移到App.razor中，结合路由判断来开放特定页面的匿名访问：

步骤1：修改hosts.cshtml，移除全局授权 #

先去掉hosts.cshtml中的@attribute [Authorize]，避免预渲染阶段拦截所有请求：

@page "/"

@using Microsoft.AspNetCore.Authorization

@namespace U3A.Pages
@addTagHelper *, Microsoft.AspNetCore.Mvc.TagHelpers
@{
    Layout = "_Layout";
}

<component type="typeof(App)" render-mode="ServerPrerendered" />

步骤2：修改App.razor，实现带匿名例外的全局授权 #

在App.razor中添加逻辑，判断当前路由对应的页面是否允许匿名访问，允许则直接渲染，否则走授权校验并在未授权时跳转登录页：

<CascadingAuthenticationState>
    <Router AppAssembly="@typeof(App).Assembly">
        <Found Context="routeData">
            @{
                // 获取当前页面类型，检查是否带有[AllowAnonymous]属性
                var pageType = routeData.PageType;
                var hasAllowAnonymousAttr = pageType?.GetCustomAttributes(
                    typeof(Microsoft.AspNetCore.Authorization.AllowAnonymousAttribute), 
                    true
                ).Any() == true;

                // 也可以直接指定允许匿名的路由（比如"/login"、"/public"）
                var isAnonymousRoute = routeData.RouteValues["page"]?.ToString() is "/login" or "/public";
            }

            @if (hasAllowAnonymousAttr || isAnonymousRoute)
            {
                // 允许匿名访问的页面，直接渲染
                <AuthorizeRouteView RouteData="@routeData" DefaultLayout="@typeof(MainLayout)" />
                <FocusOnNavigate RouteData="@routeData" Selector="h1" />
            }
            else
            {
                // 需要授权的页面，走授权校验
                <AuthorizeView>
                    <Authorized>
                        <AuthorizeRouteView RouteData="@routeData" DefaultLayout="@typeof(MainLayout)" />
                        <FocusOnNavigate RouteData="@routeData" Selector="h1" />
                    </Authorized>
                    <NotAuthorized>
                        <!-- 未授权时强制跳转登录页 -->
                        <NavigationManager Uri="/login" ForceLoad="true" />
                    </NotAuthorized>
                </AuthorizeView>
            }
        </Found>
        <NotFound>
            <PageTitle>Not found</PageTitle>
            <LayoutView Layout="@typeof(MainLayout)">
                <p role="alert">Sorry, there's nothing at this address.</p>
            </LayoutView>
        </NotFound>
    </Router>
</CascadingAuthenticationState>

步骤3：在目标匿名页面添加[AllowAnonymous]属性 #

比如你的登录页Login.razor，添加属性标记允许匿名：

@page "/login"
@attribute [AllowAnonymous]

<!-- 登录页面的HTML内容 -->

原理说明 #

调整后，授权逻辑会在Blazor路由解析到具体页面后再执行：

1. 先检查页面是否带有[AllowAnonymous]属性，或者是否是指定的匿名路由
2. 如果是匿名页面，直接跳过授权校验渲染页面
3. 如果是需要授权的页面，再触发AuthorizeView的授权逻辑，未授权则跳转登录页

这样既保留了全局授权的效果，又能正常开放指定页面的匿名访问。

内容的提问来源于stack exchange，提问作者Hmike