引入授权后Blazor混合项目交互管道失效问题求助

问题描述 #

我维护的Blazor自动混合项目（包含CustomerPortal.Client）原本运行正常，其中ServerTime和ClientTime组件能实时更新时间。但在Program.cs中添加以下授权配置后，出现JavaScript错误：

blazor addauthorization Uncaught SyntaxError: expected expression, got '<'

该错误导致Blazor交互性完全丢失，定时器、按钮等交互元素全部失效。移除这段授权代码后，项目恢复正常。

添加的授权代码：

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = options.DefaultPolicy;
});

问题原因 #

设置options.FallbackPolicy = options.DefaultPolicy后，所有未明确配置授权规则的端点都会默认要求用户认证。而Blazor混合项目运行依赖/_framework路径下的静态资源（如WebAssembly运行时JS、组件交互桥接文件），未登录时请求这些资源会被重定向到登录页（返回HTML内容），浏览器尝试将HTML解析为JavaScript时就会触发“expected expression, got '<'”的语法错误，最终导致Blazor交互功能失效。

解决方案 #

1. 单独放行Blazor框架资源的匿名访问 #

在Program.cs的授权中间件之后，添加对/_framework路径的匿名访问规则，确保框架资源能被未登录用户正常加载：

app.UseAuthorization();

// 允许Blazor框架核心资源匿名访问
app.Map("/_framework", subApp =>
{
    subApp.UseStaticFiles();
}).AllowAnonymous();

app.UseMiddleware<EnsureUserContextMiddleware>();

2. 限制FallbackPolicy的作用范围（替代方案） #

如果不需要全局强制认证，可以放弃设置FallbackPolicy，改为对特定业务页面/组件单独应用授权：

builder.Services.AddAuthorization(options =>
{
    // 定义仅要求认证的自定义策略
    options.AddPolicy("RequireAuthenticated", policy =>
    {
        policy.RequireAuthenticatedUser();
    });
});

然后在需要保护的组件或页面上添加特性：

[Authorize(Policy = "RequireAuthenticated")]
public partial class ProtectedPage : ComponentBase
{
    // ...
}

3. 确保登录页允许匿名访问 #

检查处理/login的控制器或页面，必须添加[AllowAnonymous]特性，避免未登录时陷入重定向死循环：

[AllowAnonymous]
public class LoginController : Controller
{
    // 登录逻辑实现
}

验证效果 #

添加上述配置后重启项目，未登录状态下访问应用时，/_framework下的资源能正常加载，JS错误消失，交互组件恢复实时更新功能；登录后授权规则依然生效，保护需要认证的页面内容。

内容的提问来源于stack exchange，提问作者Thierry Verhaegen