如何在Blazor WebAssembly的Session中安全存储敏感数据

首先明确：客户端的localStorage/sessionStorage绝对不适合存敏感数据——这些数据以明文形式存储在用户浏览器中，任何人都能通过开发者工具查看、篡改，完全没有安全性可言。

核心解决方案：敏感数据存服务器端Session #

Blazor WebAssembly是客户端运行的应用，本身没有服务器Session能力，因此需要配合ASP.NET Core后端（无论托管模式还是独立API后端），将敏感数据存在服务器端的Session中，客户端仅通过API接口与服务器交互数据。

步骤1：配置ASP.NET Core后端的Session #

在后端Program.cs中添加Session服务并启用中间件：

// 添加Session服务
builder.Services.AddSession(options =>
{
    options.IdleTimeout = TimeSpan.FromMinutes(30); // 设置会话超时时间
    options.Cookie.HttpOnly = true; // 禁止客户端JS访问Session Cookie，防范XSS
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always; // 仅在HTTPS下传输Cookie
    options.Cookie.SameSite = SameSiteMode.Strict; // 防范CSRF攻击
});

// 启用Session中间件（需放在UseRouting之后、UseAuthorization之前）
app.UseSession();

步骤2：编写API接口用于读写Session数据 #

创建API控制器处理用户Session数据的存取逻辑：

[ApiController]
[Route("api/[controller]")]
public class UserSessionController : ControllerBase
{
    // 将用户敏感数据存入服务器Session
    [HttpPost("set-user-data")]
    public IActionResult SetUserData([FromBody] UserDataModel userData)
    {
        HttpContext.Session.SetString("UserData", JsonSerializer.Serialize(userData));
        return Ok();
    }

    // 从服务器Session获取用户敏感数据
    [HttpGet("get-user-data")]
    public IActionResult GetUserData()
    {
        var userDataJson = HttpContext.Session.GetString("UserData");
        if (string.IsNullOrEmpty(userDataJson))
        {
            return NotFound("用户数据不存在");
        }
        var userData = JsonSerializer.Deserialize<UserDataModel>(userDataJson);
        return Ok(userData);
    }
}

// 定义用户数据模型
public class UserDataModel
{
    public string UserId { get; set; }
    public string Email { get; set; }
    // 其他敏感字段...
}

步骤3：Blazor WebAssembly前端调用API存取数据 #

在Blazor组件中注入HttpClient，通过API与服务器Session交互：

@inject HttpClient Http
@code {
    private UserDataModel _currentUserData;

    // 存储用户数据到服务器Session
    private async Task SaveUserDataToSession()
    {
        var userData = new UserDataModel
        {
            UserId = "123",
            Email = "user@example.com"
        };
        await Http.PostAsJsonAsync("api/UserSession/set-user-data", userData);
    }

    // 从服务器Session加载用户数据
    private async Task LoadUserDataFromSession()
    {
        _currentUserData = await Http.GetFromJsonAsync<UserDataModel>("api/UserSession/get-user-data");
    }
}

额外安全补充建议 #

• 强制使用HTTPS：所有通信必须通过HTTPS，防止数据在传输过程中被窃取或篡改。
• 避免纯客户端模式处理敏感数据：如果你的Blazor WASM是纯客户端（无后端），几乎没有安全存储敏感数据的方案，建议将敏感操作全部迁移到后端API完成。
• 可选：用HttpOnly Cookie存储JWT：若偏好无状态架构，可使用JWT令牌，但需将JWT存在HttpOnly Cookie中（而非localStorage），避免客户端JS访问，防范XSS攻击。注意JWT一旦签发无法主动作废，适合短期令牌，需配合刷新令牌机制。
• 加密存储（仅非核心敏感场景）：若必须在客户端存储非核心敏感数据，可先加密再存入localStorage/sessionStorage，但加密密钥绝对不能存在客户端，需通过后端API安全传递（如登录时返回临时密钥）——这种方式仍不如服务器端Session安全。

内容的提问来源于stack exchange，提问作者H.M.Mubashir