Blazor Server自定义认证Provider报域信任失败Win32Exception如何解决？

问题根源 #

当使用带角色参数的<AuthorizeView Roles="sample_role">时，Blazor授权系统会尝试通过Windows身份标识（WindowsIdentity）验证角色有效性。由于生产环境处于跨域/非信任域环境，系统向AD域控制器请求验证自定义角色sample_role时触发了域信任关系失败的异常——而自定义角色是从数据库获取的，并非AD内置角色，根本不需要AD验证。

之前的代码直接向原Windows身份的ClaimsPrincipal添加自定义ClaimsIdentity，导致授权系统优先使用Windows身份进行角色校验，从而引发跨域信任问题。

修复方案 #

修改自定义认证提供者的逻辑，创建独立的自定义身份标识，与原Windows身份合并为新的ClaimsPrincipal，避免系统触发AD角色验证：

修改后的CustomAuth代码 #

public class CustomAuth : ServerAuthenticationProvider
{
    public override async Task<AuthenticationState> GetAuthenticationStateAsync()
    {
        var state = await base.GetAuthenticationStateAsync();
        var originalUser = state.User;

        var currentUserId = originalUser.Identity.Name;     
        bool userHasRole = Database.DoesRoleExistFor(currentUserId);

        if (userHasRole)
        {
            // 创建自定义身份标识，指定非Windows的认证类型，避免AD验证
            var customRoleIdentity = new ClaimsIdentity(
                new[] { new Claim(ClaimTypes.Role, "sample_role") },
                "CustomDatabaseAuth"); // 自定义认证类型标识

            // 合并原Windows身份与自定义角色身份，生成新的ClaimsPrincipal
            var newPrincipal = new ClaimsPrincipal(new[] { originalUser.Identity, customRoleIdentity });

            // 通知认证状态变更并返回新状态
            NotifyAuthenticationStateChanged(Task.FromResult(new AuthenticationState(newPrincipal)));
            return new AuthenticationState(newPrincipal);
        }

        return state;
    }
}

额外注意事项 #

• 认证类型指定：自定义ClaimsIdentity必须指定AuthenticationType（不能留空或使用Windows相关类型），这样授权系统会将其视为独立的身份来源，不会触发AD验证。
• 生产环境认证配置：确保Startup.cs中的Windows认证配置适配跨域环境，推荐使用Negotiate认证方案：

services.AddAuthentication(NegotiateDefaults.AuthenticationScheme)
    .AddNegotiate();

• 避免修改原Windows身份：不要直接向originalUser添加Identity，原Windows身份的任何修改都可能触发系统级的AD校验逻辑。

这样修改后，<AuthorizeView Roles="sample_role">会从自定义身份标识中读取角色声明，不会再触发AD域验证，跨域生产环境的信任异常即可解决，同时保留权限控制能力。

内容的提问来源于stack exchange，提问作者Ahmad