多Blazor WebAssembly应用托管部署的认证架构与配置问题

问题根因 #

你当前配置的报错本质是路由匹配优先级错误：你把IdentityServer中间件、认证授权中间件、Identity页面端点全部放在了MapWhen的子应用分支内，且分支内给所有请求路径拼接了/FirstApp前缀，导致访问/.well-known/openid-configuration、/Identity/Account/Register这类Identity原生路径时，会被自动修改为/FirstApp/.well-known/openid-configuration、/FirstApp/Identity/Account/Register，IdentityServer无法匹配到对应端点，自然返回404。

两种实现方案选择 #

你可以根据项目规模选择对应的改造方案：

方案1：单宿主公共配置（适合小型项目、低并发场景）

不需要拆分认证服务，只需要把公共中间件和端点提到全局，不要放在子应用分支内即可，调整后的配置逻辑参考如下：

// 全局注册公共中间件，所有子应用共享
app.UseStaticFiles();
app.UseRouting();
// IdentityServer、认证授权逻辑全局生效，不要放入子应用分支
app.UseIdentityServer();
app.UseAuthentication();
app.UseAuthorization();

// 全局优先映射Identity相关页面、公共接口，优先级高于子应用分支
app.MapRazorPages();
app.MapControllers();

// 再配置各个Blazor子应用的分支规则
app.MapWhen(ctx => ctx.Request.Host.Port == 5001 || 
    ctx.Request.Host.Equals("firstapp.com"), first =>
{
    first.Use((ctx, nxt) =>
    {
        ctx.Request.Path = "/FirstApp" + ctx.Request.Path;
        return nxt();
    });

    first.UseBlazorFrameworkFiles("/FirstApp");
    first.UseStaticFiles("/FirstApp");
    
    first.UseEndpoints(endpoints =>
    {
        endpoints.MapFallbackToFile("/FirstApp/{*path:nonfile}", 
            "FirstApp/index.html");
    });
});

// 第二个子应用配置逻辑与上面一致
app.MapWhen(ctx => ctx.Request.Host.Port == 5002 || 
    ctx.Request.Host.Equals("secondapp.com"), second =>
{
    // ...
});

这个方案改造成本极低，只需要额外在IdentityServer的客户端配置中，补全两个Blazor应用的回调地址、登出地址即可直接使用。

方案2：独立认证服务（适合中大型项目、多应用长期迭代场景）

也就是你找到的拆分认证服务的方案，将认证服务单独部署在独立端口，所有Blazor应用统一对接该认证中心，该方案优势如下：

• 服务职责完全分离，认证服务的迭代、扩容不会影响业务应用运行
• 后续新增业务应用直接对接认证中心即可，无需修改现有宿主配置
• 安全性更高，用户数据、认证逻辑和业务逻辑完全隔离
  如果你的项目后续有新增应用的规划、或者用户体量较大，优先选择该方案，虽然初期实现成本稍高，但长期维护成本更低。

内容的提问来源于stack exchange，提问作者lolsharp