Blazor Server GetAuthenticationStateAsync()跨浏览器返回声明数不一致问题

问题背景 #

我们在.NET 6.0服务端Blazor应用中使用Azure Active Directory实现身份认证，需要校验用户是否已加入正确的Active Directory组，以此授权用户访问某一页面的特定功能。
使用同一用户账号测试时，最初Google Chrome浏览器中授权逻辑运行正常，但Microsoft Edge浏览器中授权未生效。
简化后的实现逻辑如下：

@page "/accounting"

@layout GeneralLayout

@inject AuthenticationStateProvider AuthStateProvider
@inject IAuthorizationService AuthService

<PageBody>
    @if (IsVendorExpenseAccessEnabled) {
        @* 展示供应商费用相关功能 *@
    }
    else
    {
        @* 隐藏供应商费用相关功能 *@
    }
</PageBody>

@code {
    private AuthorizationResult HasFullAccessResult { get; set; }

    private bool IsVendorExpenseAccessEnabled =>
        HasFullAccessResult != null && HasFullAccessResult.Succeeded;

    protected override async Task OnInitializedAsync() {
        var authState = await AuthStateProvider.GetAuthenticationStateAsync();
        HasFullAccessResult = await AuthService.AuthorizeAsync(authState?.User, "校验组声明的自定义策略");
    }
}

调试时最初发现，Chrome环境下authState.User.Claims包含14条组声明，而Edge环境下authState.User.Claims仅包含12条组声明，缺失了访问该页面功能所需的对应组声明，直接导致授权失败。

后续更新 #

经排查Edge端的异常属于干扰项：在Chrome端退出应用后重新登录，Chrome也出现了相同的声明缺失问题。初步判断问题大概率与Azure AD配置有关，已知IT团队当日曾对Azure AD配置进行调整。 #

问题原因与修复方案 #

这个问题和浏览器差异无关，核心原因是Azure AD签发的令牌中未携带目标组声明，结合IT当日调整过配置的背景，按优先级排查以下场景即可定位：

• 第一优先级排查是否触发组声明超额限制：这是Azure AD的已知机制，不是配置错误。Azure AD对令牌内可内嵌的组声明数量有硬限制，用户归属组数量在200以内时，会直接在groups声明中返回所有组的Object ID；一旦组数量超过阈值，令牌不会再返回全量组，只会携带hasgroups: true或者groups:overage的超额标记。你遇到的前后两次登录返回组数量不一致的情况，大概率是IT给测试账号新增了组归属，刚好触发了超额阈值，导致部分组不再内嵌返回。
  这种场景下不能依赖令牌自带的组声明做授权，需要在认证管道里加声明转换逻辑：检测到超额标记时，调用Microsoft Graph API的transitiveMemberOf接口拉取用户全量组信息，补充到用户Claims后再走授权校验。
• 第二优先级检查应用注册的令牌配置：Azure AD应用注册的「令牌配置」板块可以自定义组声明的返回范围，可选范围包括不返回组、仅返回安全组、仅返回目录角色、返回所有组（含M365组、分发组），如果IT调整配置时缩小了返回范围，比如从返回所有安全组改成仅返回分配给应用的角色组，不在返回范围内的组自然不会出现在声明里。
• 第三优先级检查目标组属性变更：如果IT将授权依赖的目标组从安全组调整为M365组/分发组，而应用配置仅设置返回安全组声明，也会导致目标组丢失。
• 第四优先级检查声明映射策略：如果IT配置了自定义声明映射策略，过滤了特定组的返回，也会出现指定组不在声明列表的问题。

快速验证方法 #

直接在代码里打印authState.User.Claims的全量内容，或者抓取登录流程返回的ID令牌做JWT解析，查看payload里的groups字段内容，确认是否存在超额标记、是否包含目标组ID，可以快速定位具体原因。

内容的提问来源于stack exchange，提问作者Paul Trotter