Blazor WASM Chrome无痕模式禁用第三方Cookie时认证失败问题

根因说明 #

该问题本质是浏览器第三方Cookie拦截策略导致的，和代码配置无关：

1. Chrome 83之后的版本默认对跨站Cookie做拦截，无痕模式下拦截策略更严格：只要请求发起方和Cookie所属域名不属于同站点（即eTLD+1不同，Blazor站点和独立部署的Identity Server属于典型跨站场景），哪怕服务端给Cookie正确配置了SameSite=None、Secure=true属性，浏览器也会直接拦截，不会在跨站请求中携带该Cookie，这个限制是浏览器内核层面的安全规则，没有任何前端/服务端配置可以强制绕过。
2. 重复触发/connect/authorize接口调用的原因是Blazor WASM内置OIDC客户端的默认逻辑：纯前端运行的WASM应用没有后端做会话持久化，当它检测到本地没有存储有效access_token时，会自动发起静默授权请求尝试无感知登录；这时候因为跨站Cookie被拦截，Identity Server收不到自身域名下的会话Cookie，无法识别用户登录状态，就会直接返回login_required错误，回调到登录回调地址，也自然不会把token写入session storage。

可行落地方案 #

所有方案的核心思路都是规避跨站Cookie依赖，调整Cookie属性、修改CORS配置这类网上流传的方案都无法突破浏览器的底层拦截，不要在这上面浪费时间，可选的落地路径有三个：

• 同域反向代理方案（改动最小，推荐优先使用）
  通过网关、Nginx等反向代理工具，把独立部署的Identity Server服务代理到Blazor应用所在域名的子路径下。比如Blazor应用访问地址是https://app.yourdomain.com，就把Identity Server的所有接口代理到https://app.yourdomain.com/auth/路径，之后把OIDC配置里的Authority改成同域相对路径/auth即可。改造后所有认证请求都属于同站请求，Identity Server下发的Cookie属于第一方Cookie，不会被浏览器拦截，原有认证逻辑不需要做任何调整，兼容性最好。
• 关闭静默续期+form_post回调方案
  修改OIDC配置，把ResponseMode设置为form_post，ResponseType保持code即可，同时关闭OIDC客户端的自动静默token续期配置。第一次用户主动跳转到Identity Server完成登录后，授权码会通过form_post形式直接提交到Blazor前端，前端可以正常换取token存入本地；因为关闭了静默续期，后续不会自动发起跨站的authorize请求，也就不会触发Cookie拦截问题。这个方案的缺点是token过期后用户需要手动重新登录，无法实现无感知续期，适合对登录体验要求不高的内部系统。
• BFF架构改造方案（长期最优方案）
  给Blazor WASM增加一个同域部署的后端服务（即BFF层，Backend for Frontend），把所有OIDC认证流程、token存储、token刷新、接口鉴权逻辑全部迁移到BFF后端完成，前端WASM应用只和同域的BFF接口交互，完全不需要直接跨站请求Identity Server，从根源上消除第三方Cookie依赖。这也是目前所有SPA类应用做身份认证的行业推荐方案，安全性远高于纯前端存储token的模式，也完全不受后续浏览器Cookie策略收紧的影响。

避坑说明 #

以下常见方案均无法解决当前遇到的问题，无需尝试：

• 给Cookie增加SameSite=None; Secure属性：这只是跨站Cookie被允许携带的必要前提，不是绕过浏览器第三方Cookie拦截的开关，只要浏览器开启全局第三方Cookie拦截，属性配置正确也会被拦截
• 配置跨域CORS规则：CORS控制的是前端跨域请求是否能拿到响应结果，和浏览器是否发送Cookie是两个独立的逻辑层，互不影响
• 给Cookie加Partitioned分区属性：该属性是Chrome为第三方Cookie退出后提供的替代方案，目前兼容性不足，且无痕模式下依然存在拦截问题，无法覆盖所有用户场景

内容的提问来源于stack exchange，提问作者eduard