修改Cookie后Blazor Server应用仍保持授权状态的问题咨询

你观察到的是Blazor Server的默认正常行为，不属于配置遗漏：

• Blazor Server首次页面加载走标准HTTP请求管道，此时会触发ASP.NET Core Identity的Cookie校验，校验通过后才会建立SignalR长连接，同时将验证后的ClaimsPrincipal身份信息缓存到当前用户对应的Circuit（电路）实例中
• 后续所有Blazor内部的页面跳转、交互操作都通过已建立的SignalR连接传输，不再发起新的HTTP请求，自然也不会携带Cookie触发Cookie校验逻辑，服务端会直接复用Circuit中缓存的身份信息做授权判断
• 你在浏览器端修改本地存储的Cookie后，已经建立的Circuit完全感知不到这个变化，只有刷新页面发起新的HTTP请求时，修改后的Cookie才会提交到服务端，校验失败就会触发重定向登录流程

如果你的业务场景要求Cookie失效后立即限制用户操作，可以按需选择以下实现方式：

• 核心敏感操作前增加实时校验逻辑：在执行增删改、权限变更等关键操作时，主动调用服务端接口验证当前Cookie有效性，校验失败直接触发登出逻辑
• 定时同步身份状态：配置后台定时任务，定期拉取当前用户的最新身份状态，和Circuit缓存的身份信息比对，发现不一致时立即终止Circuit连接
• 登出场景主动清理活跃Circuit：调用SignOutAsync时同步终止对应用户的所有活跃Circuit，无需等待用户刷新即可拦截后续操作

Blazor默认的身份缓存设计是为了降低不必要的校验开销，提升交互响应速度，普通业务场景下无需调整，仅对安全性要求极高的场景建议开启实时校验。

内容的提问来源于stack exchange，提问作者taekyeon