Blazor WASM-OpenIdConnect：如何禁用页面刷新时的身份提供商令牌验证

针对你的场景，以下几种方案可以避免页面刷新（F5）时频繁向身份提供商（IDP）发起令牌验证请求：

1. 本地持久化认证状态，跳过IDP验证 #

Blazor WASM默认依赖IDP验证恢复认证状态，你可以通过自定义认证状态提供者，将令牌和用户信息持久化到浏览器localStorage或sessionStorage，刷新页面时优先从本地读取认证状态，无需请求IDP。

实现步骤： #

• 在Program.cs中配置Oidc时开启令牌保存，并指定自定义认证状态提供者：

builder.Services.AddOidcAuthentication(options =>
{
    builder.Configuration.Bind("Oidc", options.ProviderOptions);
    options.ProviderOptions.SaveTokens = true; // 保存令牌到认证状态
    options.AuthenticationStateProvider = typeof(PersistentAuthStateProvider);
});

• 实现PersistentAuthStateProvider，继承ServerAuthenticationStateProvider，优先从本地存储读取认证信息：

public class PersistentAuthStateProvider : ServerAuthenticationStateProvider
{
    private readonly IJSRuntime _jsRuntime;

    public PersistentAuthStateProvider(IJSRuntime jsRuntime)
    {
        _jsRuntime = jsRuntime;
    }

    public override async Task<AuthenticationState> GetAuthenticationStateAsync()
    {
        // 从localStorage读取保存的认证状态
        var serializedState = await _jsRuntime.InvokeAsync<string>("localStorage.getItem", "authState");
        if (!string.IsNullOrEmpty(serializedState))
        {
            var authState = JsonSerializer.Deserialize<AuthenticationState>(serializedState);
            return authState;
        }
        // 本地无缓存时，走默认IDP验证流程
        return await base.GetAuthenticationStateAsync();
    }

    // 登录成功后调用此方法保存认证状态到localStorage
    public async Task SaveAuthenticationStateAsync(AuthenticationState state)
    {
        var serializedState = JsonSerializer.Serialize(state);
        await _jsRuntime.InvokeVoidAsync("localStorage.setItem", "authState", serializedState);
        NotifyAuthenticationStateChanged(Task.FromResult(state));
    }
}

• 登录成功后调用SaveAuthenticationStateAsync保存状态，比如在登录回调页面添加对应逻辑。

2. 本地验证令牌签名，无需请求IDP #

默认情况下Blazor WASM会向IDP的端点验证令牌有效性，你可以配置本地验证令牌签名，通过IDP的公钥直接在客户端验证，避免每次刷新都发起网络请求。

配置示例： #

在Program.cs的Oidc配置中添加令牌验证参数：

options.ProviderOptions.TokenValidationParameters = new TokenValidationParameters
{
    ValidateIssuerSigningKey = true,
    // 从配置读取IDP的公钥（可从IDP的发现端点获取）
    IssuerSigningKey = new JsonWebKey(builder.Configuration["Oidc:SigningPublicKey"]),
    ValidateIssuer = true,
    ValidIssuer = builder.Configuration["Oidc:Authority"],
    ValidateAudience = true,
    ValidAudience = builder.Configuration["Oidc:ClientId"],
    // 保留有效期验证，避免使用过期令牌
    ValidateLifetime = true,
    RequireExpirationTime = true
};

注意：需提前从IDP获取公钥并配置到应用中，确保本地验证的准确性。

3. 启用静默刷新优化交互 #

如果无法完全避免与IDP的交互，可以启用静默刷新机制，让令牌刷新在后台静默完成，用户无感知，同时减少页面刷新时的验证请求。

配置示例： #

builder.Services.AddOidcAuthentication(options =>
{
    builder.Configuration.Bind("Oidc", options.ProviderOptions);
    options.ProviderOptions.ResponseType = "code";
    options.ProviderOptions.UsePkce = true;
    options.ProviderOptions.UseRefreshTokens = true; // 启用刷新令牌
    options.ProviderOptions.RefreshTokenExpiration = TokenExpiration.Sliding; // 滑动过期
    options.ProviderOptions.RedirectUri = "/authentication/login-callback";
    options.ProviderOptions.PostLogoutRedirectUri = "/";
});

静默刷新会在令牌即将过期时自动向IDP发起请求获取新令牌，而非每次页面刷新都触发验证。

注意事项 #

• 由于你的应用是内部VPN访问，安全性风险可控，但仍需注意：本地持久化令牌存在XSS攻击风险，需确保应用无注入漏洞；令牌有效期不宜设置过长，避免被盗用。
• 若使用本地令牌验证，需确保IDP的公钥更新时，应用同步更新，避免验证失败。

内容的提问来源于stack exchange，提问作者Schoof