Blazor Server基于AAD安全组授权时，组内用户始终判定为未授权

你当前授权逻辑失效的核心原因包含多个AAD+Blazor Server集成场景的高频配置错误：

• 授权服务注册错误：AddAuthorizationCore是Blazor WebAssembly专属的客户端授权注册方法，Blazor Server作为服务端渲染场景，应使用AddAuthorization完成服务端授权配置，否则注册的策略可能无法被正确加载。
• 匹配值错误：RequireRole("MyAadSecGroup")中填写的是AAD安全组的显示名称，但AAD默认在访问令牌中返回的安全组标识是GUID格式的组对象ID（Object ID），不会返回组显示名，值不匹配自然无法通过校验。
• 声明类型不匹配：ASP.NET Core的RequireRole方法默认只识别ClaimTypes.Role类型的声明做校验，而AAD返回的安全组声明默认类型是groups，不会被默认的角色校验逻辑捕获。
• 组件嵌套错误：Blazor Server框架已在根组件中自动注册了级联认证状态，手动额外嵌套<CascadingAuthenticationState>组件可能导致认证状态传递异常。

1. 修正服务端认证授权配置 #

替换原有的简单授权注册逻辑，在Program.cs（.NET 6+）或Startup.cs中完成如下配置：

// 配置AAD OpenIdConnect认证，显式指定角色声明类型
services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(Configuration.GetSection("AzureAd"))
    .Configure(options => {
        // 告诉框架：将所有groups类型的声明，作为角色声明处理
        options.TokenValidationParameters.RoleClaimType = "groups";
    });

// 注册授权策略
services.AddAuthorization(options =>
{
    options.AddPolicy("RegUser", policy => 
        // 此处填写AAD安全组详情页的GUID格式Object ID，而非组显示名
        policy.RequireRole("你的AAD安全组的Object ID")
    );
});

关键提醒：如果运行后发现用户声明列表中没有groups类型的项，需要前往AAD应用注册的「清单」编辑页，将groupMembershipClaims字段的值修改为SecurityGroup并保存，重新登录应用后AAD才会在令牌中返回组声明。

2. 修正Blazor组件端的授权写法 #

移除手动嵌套的<CascadingAuthenticationState>组件，直接使用AuthorizeView绑定授权策略即可：

<AuthorizeView Policy="RegUser">
    <Authorized>
        <!-- 授权通过后展示的内容 -->
    </Authorized>
    <NotAuthorized>
        <!-- 未授权展示的内容 -->
    </NotAuthorized>
</AuthorizeView>

如果修改后仍未生效，可临时在组件中遍历输出当前用户的所有声明，确认实际拿到的groups声明值：

<AuthorizeView>
    <Authorized>
        @foreach (var claim in context.User.Claims)
        {
            <p>@claim.Type : @claim.Value</p>
        }
    </Authorized>
</AuthorizeView>

对照输出的groups声明值和授权策略中填写的组Object ID，只要二者完全一致，授权逻辑即可正常触发。

内容的提问来源于stack exchange，提问作者Jerry Nixon