.NET 9 Blazor InteractiveWebAssembly模式身份认证授权问题咨询

1. 是否存在遗漏的相关内容？ #

没有遗漏。.NET 9的InteractiveWebAssembly模式确实未内置AuthenticationStateProvider、AuthorizeView以及MSAL/Entra ID的官方集成支持。官方文档的表述准确：当前官方认证授权的内置集成仅针对Interactive Server组件和传统的Blazor WebAssembly（非Interactive）模式。这是因为InteractiveWebAssembly作为纯客户端渲染的SPA模式，官方尚未完成对应的认证链路适配。

2. 官方或社区推荐的解决方案？ #

• 复用传统Blazor WASM认证逻辑：使用传统Blazor WASM的Entra ID认证模板创建项目（dotnet new blazorwasm -au SingleOrg --client-id <你的客户端ID> --tenant-id <你的租户ID>），然后将项目迁移到InteractiveWebAssembly模式。传统WASM的MSAL集成代码可直接复用，仅需调整组件的交互式渲染配置。
• 自定义客户端认证流程：直接使用MSAL.js在浏览器端完成Entra ID登录，然后自定义AuthenticationStateProvider封装MSAL的用户状态，手动实现GetAuthenticationStateAsync方法返回包含用户声明的ClaimsPrincipal，即可在组件中正常使用AuthorizeView和授权逻辑。
• 社区工具辅助：部分社区OAuth2/OpenID Connect组件（如Blazored系列）可简化客户端认证流程，但针对Entra ID场景，直接使用MSAL.js官方封装更为可靠。

3. 通过服务器API暴露声明/角色是否为最佳实践？ #

这是可行方案，但并非纯SPA场景下的最优选择：

• 优势：可确保角色/声明的权威性，避免客户端篡改本地存储的认证信息，适合权限校验要求极高的场景。
• 劣势：每次控制UI显隐都需调用服务器API，增加网络请求，影响纯SPA的流畅体验。
• 更优方案：优先从Entra ID返回的ID Token/Access Token中解析声明和角色，存储在客户端，通过自定义AuthenticationStateProvider提供这些信息；若角色可能动态变更，可定期调用服务器API刷新权限状态，结合客户端缓存平衡体验与安全性。

4. 未来.NET版本是否计划提供官方认证支持？ #

是的。.NET团队已在公开规划中明确，将在后续版本（如.NET 10）为InteractiveWebAssembly模式添加官方认证授权集成，包括AuthenticationStateProvider、AuthorizeView的内置支持以及MSAL/Entra ID的适配。相关进度可在Blazor官方仓库的议题中跟踪。

内容的提问来源于stack exchange，提问作者Dennis Jones