Blazor WASM本地调试Entra ID认证出现跨源opener策略错误

问题原因 #

1. 本地调试时，Blazor WASM独立应用的调试服务器默认启用了严格的Cross-Origin-Opener-Policy(COOP)响应头策略，与Entra ID登录页面的COOP设置不兼容，导致登录弹窗完成认证后无法与本地主机页面建立跨源上下文通信，触发COOP错误。
2. .NET 10的独立Blazor WASM调试服务器默认COOP策略为same-origin，而Entra ID登录端点使用的COOP配置（如same-site或unsafe-none）与该设置冲突，弹窗关闭前出现跨源访问被阻止的报错。

解决方法 #

方法1：通过环境变量修改调试服务器响应头 #

在项目Properties/launchSettings.json的调试配置中添加环境变量，直接设置宽松的COOP/COEP头（仅用于本地调试）：

{
  "profiles": {
    "YourBlazorAppName": {
      "commandName": "Project",
      "launchBrowser": true,
      "applicationUrl": "https://localhost:1234",
      "environmentVariables": {
        "ASPNETCORE_ENVIRONMENT": "Development",
        "ASPNETCORE_HEADERS_Cross-Origin-Opener-Policy": "unsafe-none",
        "ASPNETCORE_HEADERS_Cross-Origin-Embedder-Policy": "unsafe-none"
      }
    }
  }
}

修改后重启调试服务器即可，该方式无需改动代码，仅作用于本地调试环境。

方法2：在代码中针对开发环境配置响应头 #

在Program.cs中添加静态文件响应头配置，仅在开发环境放宽COOP策略：

var builder = WebAssemblyHostBuilder.CreateDefault(args);
builder.RootComponents.Add<App>("#app");
builder.RootComponents.Add<HeadOutlet>("head::after");

builder.Services.AddScoped(sp => new HttpClient { BaseAddress = new Uri(builder.HostEnvironment.BaseAddress) });

// 仅开发环境调整COOP/COEP头
if (builder.HostEnvironment.IsDevelopment())
{
    builder.Services.Configure<StaticFileOptions>(options =>
    {
        options.OnPrepareResponse = ctx =>
        {
            ctx.Context.Response.Headers.Append("Cross-Origin-Opener-Policy", "unsafe-none");
            ctx.Context.Response.Headers.Append("Cross-Origin-Embedder-Policy", "unsafe-none");
        };
    });
}

await builder.Build().RunAsync();

注意：unsafe-none会降低浏览器跨源安全性，仅用于本地调试，生产环境务必移除该配置。

方法3：再次确认Entra ID应用注册配置 #

即使已配置，仍需检查以下细节：

• 本地重定向URI必须为https://localhost:1234/authentication/login-callback（Blazor WASM默认回调路径）
• 该URI需添加到Entra ID应用注册的**单页应用(SPA)**类型重定向URI列表中，而非Web或其他类型
• 确保URI的协议（https）、端口（1234）与本地调试地址完全匹配

补充说明 #

Azure静态Web应用生产环境正常是因为Azure的默认托管配置已适配Entra ID的跨源策略，无需额外调整；仅本地调试服务器的严格默认设置会触发该问题，上述方法仅针对开发环境修改，不影响生产部署。

内容的提问来源于stack exchange，提问作者Sam