Blazor应用如何实现不同客户端间的数据安全隔离？

问题1：如何阻止越权行为，是否需要新增userId参数 #

不要要求前端传入userId参数，前端传递的所有参数都可以被篡改，无法作为身份判定依据。
你需要做的是后端自行从已认证的用户上下文（比如JWT的Claims、Cookie认证的用户标识）中获取当前登录用户的ID，在GetInvoicesListAsync执行查询前，先校验传入的businessId是否属于当前用户：

• 若归属校验不通过，直接返回403权限不足，不执行后续查询
• 若校验通过，再查询对应企业的发票数据

你提到的调整方法形式方向是对的，但userId不应该来自API入参，应该由后端注入获取。

问题2：新增用户归属校验会不会影响性能 #

几乎不会产生可感知的性能损耗：

• 用户和企业的归属关联查询只需要一次简单的内连接，只要你给关联字段（比如用户企业关联表的userId、businessId）加了联合索引，哪怕百万级数据量下查询耗时也在毫秒级
• 你还可以做轻量优化：把当前用户绑定的企业ID列表缓存到Redis或者内存中，校验时直接查缓存，不需要每次都关联用户表，完全可以规避关联查询的开销
• 安全优先级远高于可忽略的性能损耗，越权漏洞是严重的业务安全问题，不能为了极小的性能收益放弃校验

问题3：落地建议 #

• 权限校验下沉到数据访问层：不要只在API入口做校验，把归属校验逻辑写到GetInvoicesListAsync等仓储方法内部，避免后续其他业务逻辑调用仓储时漏做校验
• 用框架能力简化校验：如果你用的是EF Core，可以配置全局查询过滤器，自动给所有涉及企业、发票的查询加上当前用户ID的过滤条件，不用每个方法重复写校验逻辑，也避免漏写
• 可选增强：对外暴露的自增ID可以做混淆处理（比如用HashIds把自增int转成无规律字符串），避免攻击者轻易枚举ID，但这只是辅助手段，核心还是后端的归属校验，不能靠隐藏ID做安全
• 永远不要信任前端传递的身份类参数，所有用户身份标识都从后端认证上下文获取

内容的提问来源于stack exchange，提问作者Ali