Blazor项目自定义AuthenticationStateProvider服务端不生效问题咨询

问题根因 #

你遇到的问题本质是混淆了Blazor组件的认证体系和ASP.NET Core服务端原生认证管道的职责边界，同时存在服务端服务注册错误的问题，具体如下：

• AuthenticationStateProvider是Blazor专属的状态提供类，仅为Blazor应用内的AuthorizeView、[CascadingParameter] Task<AuthenticationState>等Blazor专属的认证能力提供状态，ASP.NET Core服务端的[Authorize]特性、HttpContext.User完全走原生的认证中间件流程，二者没有直接的反向关联，你只在服务端注册这个Provider不会对原生认证逻辑产生任何影响。
• 服务端将CustomAuthStateProvider注册为单例完全错误：服务端是多用户环境，单例模式下所有用户会共享同一个_isLoggedIn变量，会出现不同用户登录状态串号的严重问题。
• 缺少跨端认证凭据同步逻辑：你当前的登录状态仅存在于客户端的内存中，没有向服务端传递任何有效认证凭据（如JWT、Cookie），服务端自然无法识别用户身份。

HttpContext.User和AuthenticationStateProvider的关联逻辑 #

• Blazor WebAssembly端运行在浏览器沙箱中，不存在HttpContext，所有Blazor组件的认证判断完全依赖AuthenticationStateProvider的返回值，和服务端HttpContext没有任何直接关联。
• ASP.NET Core服务端的HttpContext.User是由认证中间件在请求管线早期，基于请求携带的认证凭据（JWT、Cookie等）解析填充的，不会读取AuthenticationStateProvider的任何状态。如果是Blazor Server应用，默认的AuthenticationStateProvider会主动从当前请求的HttpContext.User中读取Claims生成认证状态，是单向依赖关系，不存在反向赋值的逻辑。

修复方案 #

1. 调整认证架构，增加凭据签发逻辑：客户端提交账号密码到服务端登录接口，服务端验证通过后签发JWT令牌返回给客户端，客户端将JWT存储在localStorage/sessionStorage中。
2. 服务端配置对应认证中间件，以JWT为例：

// Startup.cs / Program.cs
services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        // 配置JWT验证规则：签发方、接收方、密钥、有效期校验等
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuer = "你的签发方标识",
            ValidateAudience = true,
            ValidAudience = "你的接收方标识",
            ValidateLifetime = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("你的加密密钥")),
            ClockSkew = TimeSpan.Zero
        };
    });

// 注意要在路由中间件之后、授权中间件之前加认证中间件
app.UseAuthentication();
app.UseAuthorization();

配置完成后，携带合法JWT的请求会自动被中间件解析并填充HttpContext.User，[Authorize]特性即可正常生效。
3. 改造客户端CustomAuthStateProvider：GetAuthenticationStateAsync逻辑改为读取本地存储的JWT，判断是否有效再生成对应的ClaimsPrincipal，客户端发往服务端的请求要统一在Header中携带Authorization: Bearer {JWT令牌}。
4. 若服务端没有运行Blazor组件的需求，可以直接删除服务端的AuthenticationStateProvider注册代码；如果确实需要，要将注册生命周期改为Scoped，且逻辑改为从当前IHttpContextAccessor中读取HttpContext.User生成认证状态，不能用静态单例实现。

内容的提问来源于stack exchange，提问作者Fedor Pinega