如何从ASP.NET应用向Blazor Server入口组件传递复杂对象

这两个需求都有成熟的可落地方案，具体实现如下：

一、传递敏感复杂对象到Blazor Server应用 #

你当前使用embed标签嵌入的逻辑和iframe完全一致，可根据你的对象体积、安全要求选以下任意一种方案：

• 加密URL参数传递（适合小于2KB的中小体积对象）
  不要直接将敏感信息放在明文URL参数中，在ASP.NET后端先将复杂对象序列化为JSON字符串，使用AES等对称加密算法加密后做URL编码，作为单一payload参数传给Blazor应用，Blazor后端拿到参数后用相同密钥解密反序列化即可。
  示例代码参考：

  // ASP.NET 端加密逻辑
  var sensitiveDto = new YourCustomDto 
  {
      // 赋值你的所有敏感字段
  };
  string json = JsonConvert.SerializeObject(sensitiveDto);
  string encryptedStr = AesHelper.Encrypt(json, SharedConfig.SecretKey); // 密钥两端共用
  string blazorUrl = $"http://myBlazorApp/FMT?payload={HttpUtility.UrlEncode(encryptedStr)}";
  

  // Blazor 端解密逻辑
  string encryptedPayload = HttpUtility.UrlDecode(Request.Query["payload"].ToString());
  string json = AesHelper.Decrypt(encryptedPayload, SharedConfig.SecretKey);
  var sensitiveDto = JsonConvert.DeserializeObject<YourCustomDto>(json);
  

• 分布式缓存中转传递（适合大体积对象/高安全要求场景）
  两个应用共用同一套分布式缓存（如Redis），ASP.NET后端生成一个32位随机唯一Key，将复杂对象存入缓存并设置1分钟短过期时间，仅将随机Key作为URL参数传给Blazor应用，Blazor端用Key到缓存中读取对象，读取完成后立即删除对应缓存，避免数据泄露。
• PostMessage跨帧传递（适合需要父子应用频繁交互的场景）
  父ASP.NET页面通过JS的postMessage方法将对象传给嵌入的Blazor帧，Blazor端通过JS接收后传递到后端处理，必须额外增加身份校验逻辑：传递时携带当前用户的合法身份票据，Blazor后端先校验票据合法性再处理数据，避免跨站伪造请求风险。

二、ASP.NET与Blazor Server共享Session #

根据两个应用的部署域名情况选择方案：

• 同根域名场景：统一Session存储+Cookie配置共享
  1. 两个应用都配置Session存储到同一分布式缓存（Redis/SQL Server均可）
  2. 统一配置DataProtection加密规则：两边共用同一套加密密钥，如果你的ASP.NET是.NET Framework版本，需要安装Microsoft.AspNetCore.DataProtection.SystemWeb包适配加密逻辑，保证两边生成的Cookie可以互相解析
  3. 配置Session Cookie的Domain为共同根域名，比如两个应用分别部署在a.yourdomain.com和b.yourdomain.com，就将Cookie Domain设为.yourdomain.com，保证Cookie可以跨子域名传递
  4. 两边设置相同的Session过期时间即可实现Session完全共享
• 跨主域名场景：JWT票据中转
  无法共享Cookie的情况下，ASP.NET端在嵌入Blazor应用前，生成包含用户Session核心信息的JWT票据，加密后作为参数传递给Blazor，Blazor端验证JWT合法性后，本地生成对应的Session信息，可实现和原生共享Session完全一致的使用效果。

安全注意事项 #

• 所有涉及敏感信息的传输必须走HTTPS协议，避免明文被抓包窃取
• 加密密钥、JWT密钥禁止硬编码在代码中，需存储在安全的配置中心或服务器环境变量中
• URL传参需要控制长度，主流浏览器对URL长度的限制普遍在2KB~8KB之间，超出长度限制请选择缓存或PostMessage方案

内容的提问来源于stack exchange，提问作者LogicalDesk