.NET 6 Blazor Server 首页匿名访问全局授权配置失效排查

云上老周

2026-9-3

问题原因

你的配置存在三个核心错误，导致首页匿名访问规则不生效：

授权规则作用对象搞错了：AllowAnonymousToPage("/Index")是Razor Pages框架的API，只对.cshtml格式的物理Razor Page生效，但Blazor Server里的/Index是.razor格式的组件，不是独立Razor Page，所有组件请求最终都会路由到/_Host宿主页，这条规则根本不会作用到Blazor路由的首页上。
全局fallback授权策略拦截了统一入口：你配置的options.FallbackPolicy = options.DefaultPolicy会要求所有未显式标注匿名的端点必须登录，而/_Host作为所有Blazor路由的fallback入口，本身没有被加入匿名允许列表，请求还没走到组件路由判断的环节就被拦下来跳登录了。
没有给Blazor组件层面加匿名标记：Blazor组件的授权不依赖Razor Pages约定，需要直接给组件本身加授权特性才会生效。

修复步骤

修改Razor Pages约定配置，把/_Host宿主页加入匿名允许列表，替换原来给/Index加匿名的代码：

builder.Services.AddRazorPages(options =>
{
    // 删除原有的 options.Conventions.AllowAnonymousToPage("/Index");
    options.Conventions.AllowAnonymousToPage("/_Host");
})
    .AddMvcOptions(options => { })
    .AddMicrosoftIdentityUI();

打开Blazor首页组件Pages/Index.razor，在文件顶部添加[AllowAnonymous]特性，其余需要授权的页面不需要额外加特性，全局fallback策略会默认要求登录：

@page "/"
@using Microsoft.AspNetCore.Authorization
@attribute [AllowAnonymous]

<!-- 保留原有Index页面的内容即可 -->

修改端点映射配置，给Blazor的SignalR Hub加上授权校验，避免未授权用户绕过校验连接Hub：

app.MapControllers();
// 将原有的 app.MapBlazorHub(); 替换为下面这行
app.MapBlazorHub().RequireAuthorization();
app.MapFallbackToPage("/_Host");

额外确认项：如果你的App.razor没有手动修改过，模板默认生成的就是<AuthorizeRouteView>，不需要调整；如果之前改成了普通<RouteView>，要换回来，不然组件上的授权特性不会生效。另外你代码里builder.Services.AddControllersWithViews().AddMicrosoftIdentityUI();和后面Razor Pages配置里的AddMicrosoftIdentityUI()重复了，删掉也不影响功能，不属于核心错误。

内容的提问来源于stack exchange，提问作者Alex