Azure AD B2C登录后在Blazor WASM中更新含角色的用户身份

你的核心问题是页面刷新时RemoteAuthenticatorView.OnLoginSuceeded不会触发，导致角色身份未被添加。正确的做法是通过**自定义AuthenticationStateProvider**来统一处理认证状态的加载，无论登录后还是页面刷新，都能确保角色被注入到ClaimsPrincipal中。

解决方案步骤 #

1. 创建自定义AuthenticationStateProvider #

继承RemoteAuthenticationStateProvider（适配Azure AD B2C的远程认证场景），在其中封装角色加载逻辑：

public class CustomAuthStateProvider : RemoteAuthenticationStateProvider
{
    private readonly HttpClient _apiClient;
    private readonly TokenService _tokenService;
    private ClaimsPrincipal _cachedUser;

    public CustomAuthStateProvider(IHttpClientFactory httpClientFactory, TokenService tokenService)
    {
        _apiClient = httpClientFactory.CreateClient("Portal.ServerAPI");
        _tokenService = tokenService;
    }

    public override async Task<AuthenticationState> GetAuthenticationStateAsync()
    {
        // 获取基础认证状态（Azure AD B2C返回的用户信息）
        var baseState = await base.GetAuthenticationStateAsync();
        var baseUser = baseState.User;

        // 用户未认证时直接返回
        if (!baseUser.Identity.IsAuthenticated)
        {
            _cachedUser = null;
            return baseState;
        }

        // 缓存存在且已包含自定义身份，直接返回缓存
        if (_cachedUser != null && _cachedUser.Identities.Any(x => x.Label == "myAuthToken"))
        {
            return new AuthenticationState(_cachedUser);
        }

        try
        {
            // 调用API获取含角色的令牌
            var response = await _apiClient.GetAsync("user/profile");
            response.EnsureSuccessStatusCode();
            var sslToken = await response.Content.ReadAsStringAsync();

            // 将令牌转换为ClaimsIdentity
            var rolePrincipal = _tokenService.GetClaimsPrincipal(sslToken);
            var roleIdentity = new ClaimsIdentity(rolePrincipal.Identity)
            {
                Label = "myAuthToken"
            };

            // 克隆原始用户并添加角色身份（避免修改框架维护的原始对象）
            var updatedUser = new ClaimsPrincipal(baseUser.Clone());
            updatedUser.AddIdentity(roleIdentity);

            _cachedUser = updatedUser;
            return new AuthenticationState(_cachedUser);
        }
        catch (Exception)
        {
            // API调用失败时返回原始认证状态，不影响基础功能
            return baseState;
        }
    }

    // 用户登出时清空缓存，确保下次登录重新加载角色
    public override void NotifyAuthenticationStateChanged(Task<AuthenticationState> task)
    {
        _cachedUser = null;
        base.NotifyAuthenticationStateChanged(task);
    }
}

2. 注册自定义Provider到DI容器 #

在Program.cs中替换默认的AuthenticationStateProvider：

// 注册自定义认证状态提供者
builder.Services.AddScoped<AuthenticationStateProvider, CustomAuthStateProvider>();

// 保留原有的HttpClient配置
builder.Services.AddHttpClient("Portal.ServerAPI", client => client.BaseAddress = new Uri("https://localhost:7001/api/"))
                .AddHttpMessageHandler<SslAuthorizationMessageHandler>();

3. 移除原有逻辑 #

删除RemoteAuthenticatorView.OnLoginSuceeded中的角色添加代码，因为自定义Provider会自动处理所有场景（登录后、页面刷新后）的角色注入。

方案说明 #

• 统一入口：GetAuthenticationStateAsync是Blazor获取认证状态的核心入口，无论页面刷新还是组件初始化都会调用，确保角色始终存在。
• 缓存优化：缓存已加载角色的用户对象，避免重复调用API，提升性能。
• 安全处理：克隆原始ClaimsPrincipal后再添加身份，避免修改框架内部维护的对象引发意外问题。
• 容错机制：API调用失败时返回原始认证状态，保证基础认证功能不受影响。

内容的提问来源于stack exchange，提问作者kiwimario