Blazor Server封装库中GraphServiceClient认证失败问题排查

核心问题 #

你手动创建GraphServiceClient的方式没有复用Microsoft Identity Web内置的认证与令牌缓存机制，加上Blazor Server的会话上下文特性，导致重启后令牌缓存丢失时无法正确获取用户令牌。组件中先调用GetAccessTokenForUserAsync能临时解决，是因为该操作会将令牌存入缓存，后续封装库才能读取到。

正确的封装实现 #

不要手动构建GraphServiceClient，直接注入Microsoft Identity Web已经配置好的实例，这样能自动处理令牌获取、缓存和刷新：

1. 修改类库中的GraphService实现

public class GraphService : IGraphService
{
    private readonly GraphServiceClient _graphClient;

    // 直接注入已配置好的GraphServiceClient
    public GraphService(GraphServiceClient graphClient)
    {
        _graphClient = graphClient;
    }

    public async Task<Stream> GetUserPhoto()
    {
        try
        {
            return await _graphClient.Me.Photo.Content.Request().GetAsync();
        }
        catch (Exception ex)
        {
            // 根据业务需求处理异常
            throw;
        }
    }
}

2. 为什么原方式会失败？

• 手动创建的DelegateAuthenticationProvider中，使用token.Result同步等待异步操作，会导致Blazor Server的用户上下文丢失，无法正确关联当前会话的TokenCache。
• Microsoft Identity Web通过AddMicrosoftGraph注册的GraphServiceClient已经集成了完整的认证逻辑，包括静默令牌获取、缓存刷新，以及静默失败时触发交互式登录的处理，无需手动实现认证委托。

3. 解决重启后报错的问题
   原方式中清除Cookie后首次正常，是因为首次登录会触发令牌获取并写入缓存；重启后缓存清空，手动创建的客户端无法触发正确的令牌获取流程。复用内置的GraphServiceClient后，会自动处理缓存缺失时的令牌获取逻辑。

额外优化点 #

• 若需要临时指定API权限范围，可以在Graph请求中添加WithScopes：

return await _graphClient.Me.Photo.Content.Request()
    .WithScopes(new[] { "user.read", "user.readbasic.all" })
    .GetAsync();

• 保持IGraphService的Scoped注册（你当前的AddScoped<IGraphService, GraphService>()配置正确，因为GraphServiceClient本身也是Scoped生命周期）。

内容的提问来源于stack exchange，提问作者gt-downunder