ASP.NET Core server-side en Blazor Web App aanvullende beveiligingsscenario's

In dit artikel wordt uitgelegd hoe u Blazor aan de serverzijde configureert voor aanvullende beveiligingsscenario's, waaronder het doorgeven van tokens aan een Blazor-app.

Notitie

De codevoorbeelden in dit artikel gebruiken nullable reference types (NRT's) en .NET compiler null-state statische analyse, die worden ondersteund in ASP.NET Core in .NET 6 of hoger. Wanneer u ASP.NET Core 5.0 of eerder als doel hebt, verwijdert u de null-typeaanduiding (?) uit de string?, TodoItem[]?, WeatherForecast[]?en IEnumerable<GitHubBranch>? typen in de voorbeelden van het artikel.

Tokens doorgeven aan een Blazor-app aan de serverzijde

Voor Blazor Web Appmoeten richtlijnen voor het doorgeven van tokens aan Razor onderdelen worden behandeld in de documentatie (dotnet/AspNetCore.Docs #31691) in 2025 voor een preview-versie van .NET 10.

Zie de volgende problemen voor meer informatie:

• Access-AuthenticationStateProvider in middleware voor uitgaande aanvragen (dotnet/aspnetcore #52379): Dit is het huidige probleem om het doorgeven van tokens in Blazor Web Apps aan te pakken, momenteel gepland voor .NET 10 (eind 2025).
• probleem met het verlenen van toegangstoken aan HttpClient in de interactieve servermodus (dotnet/aspnetcore #52390): dit probleem is gesloten als een duplicaat van het voorgaande probleem, maar bevat nuttige discussie en mogelijke tijdelijke oplossingenstrategieën.

Voor Blazor Server, bekijk de 7.0-versie van deze artikelsectie.

Het verificatieschema instellen

Voor een app die meer dan één verificatie-middleware gebruikt en dus meer dan één verificatieschema heeft, kan het schema dat Blazor gebruikt expliciet worden ingesteld in de eindpuntconfiguratie van het Program-bestand. In het volgende voorbeeld wordt het OIDC-schema (OpenID Connect) ingesteld:

using Microsoft.AspNetCore.Authentication.OpenIdConnect;

...

app.MapRazorComponents<App>().RequireAuthorization(
    new AuthorizeAttribute
    {
        AuthenticationSchemes = OpenIdConnectDefaults.AuthenticationScheme
    })
    .AddInteractiveServerRenderMode();

Circuithandler voor het vastleggen van gebruikers voor aangepaste services

Gebruik een CircuitHandler om een gebruiker op te slaan uit de AuthenticationStateProvider en de gebruiker in een dienst onderbrengen. Als u de gebruiker wilt bijwerken, registreer dan een callback naar AuthenticationStateChanged en plaats een Task in de wachtrij om de nieuwe gebruiker te verkrijgen en de service bij te werken. In het volgende voorbeeld ziet u de benadering.

In het volgende voorbeeld:

• OnConnectionUpAsync wordt aangeroepen telkens wanneer het circuit opnieuw verbinding maakt, waarbij de gebruiker de levensduur van de verbinding instelt. Alleen de OnConnectionUpAsync methode is vereist, tenzij u updates implementeert via een handler voor verificatiewijzigingen (AuthenticationChanged in het volgende voorbeeld).
• OnCircuitOpenedAsync wordt aangeroepen om de gewijzigde handler voor verificatie, AuthenticationChanged, te koppelen om de gebruiker bij te werken.
• Het catch blok van de UpdateAuthentication-taak neemt geen actie op uitzonderingen omdat er op dit moment geen manier is om de uitzonderingen te rapporteren bij het uitvoeren van code. Als er een foutmelding wordt gegenereerd vanuit de taak, wordt de foutmelding op een andere plek in de app gerapporteerd.

UserService.cs:

using System.Security.Claims;
using Microsoft.AspNetCore.Components.Authorization;
using Microsoft.AspNetCore.Components.Server.Circuits;

public class UserService
{
    private ClaimsPrincipal currentUser = new(new ClaimsIdentity());

    public ClaimsPrincipal GetUser() => currentUser;

    internal void SetUser(ClaimsPrincipal user)
    {
        if (currentUser != user)
        {
            currentUser = user;
        }
    }
}

internal sealed class UserCircuitHandler(
        AuthenticationStateProvider authenticationStateProvider,
        UserService userService) 
        : CircuitHandler, IDisposable
{
    public override Task OnCircuitOpenedAsync(Circuit circuit, 
        CancellationToken cancellationToken)
    {
        authenticationStateProvider.AuthenticationStateChanged += 
            AuthenticationChanged;

        return base.OnCircuitOpenedAsync(circuit, cancellationToken);
    }

    private void AuthenticationChanged(Task<AuthenticationState> task)
    {
        _ = UpdateAuthentication(task);

        async Task UpdateAuthentication(Task<AuthenticationState> task)
        {
            try
            {
                var state = await task;
                userService.SetUser(state.User);
            }
            catch
            {
            }
        }
    }

    public override async Task OnConnectionUpAsync(Circuit circuit, 
        CancellationToken cancellationToken)
    {
        var state = await authenticationStateProvider.GetAuthenticationStateAsync();
        userService.SetUser(state.User);
    }

    public void Dispose()
    {
        authenticationStateProvider.AuthenticationStateChanged -= 
            AuthenticationChanged;
    }
}

In het bestand Program:

using Microsoft.AspNetCore.Components.Server.Circuits;
using Microsoft.Extensions.DependencyInjection.Extensions;

...

builder.Services.AddScoped<UserService>();
builder.Services.TryAddEnumerable(
    ServiceDescriptor.Scoped<CircuitHandler, UserCircuitHandler>());

Gebruik de service in een onderdeel om de gebruiker te verkrijgen:

@inject UserService UserService

<h1>Hello, @(UserService.GetUser().Identity?.Name ?? "world")!</h1>

Als u de gebruiker wilt instellen in middleware voor MVC, Razor Pages en in andere ASP.NET Core-scenario's, roept u SetUser aan op de UserService in aangepaste middleware nadat de verificatie-middleware is uitgevoerd of stelt u de gebruiker in met een IClaimsTransformation-implementatie. In het volgende voorbeeld wordt de middleware-benadering gebruikt.

UserServiceMiddleware.cs:

public class UserServiceMiddleware
{
    private readonly RequestDelegate next;

    public UserServiceMiddleware(RequestDelegate next)
    {
        this.next = next ?? throw new ArgumentNullException(nameof(next));
    }

    public async Task InvokeAsync(HttpContext context, UserService service)
    {
        service.SetUser(context.User);
        await next(context);
    }
}

Onmiddellijk voordat de aanroep naar app.MapRazorComponents<App>() in het bestand Program, roept u de middleware aan:

app.UseMiddleware<UserServiceMiddleware>();

Toegang tot AuthenticationStateProvider in middleware voor uitgaande aanvragen

De AuthenticationStateProvider van een DelegatingHandler voor HttpClient die met IHttpClientFactory is gemaakt, kan worden benaderd in middleware voor uitgaande verzoeken via een circuitactiviteitshandler.

Notitie

Zie de volgende secties van HTTP-aanvragen maken met behulp van IHttpClientFactory in ASP.NET Core-voor algemene richtlijnen voor het definiëren van de delegeringshandlers voor HTTP-aanvragen door HttpClient instanties die zijn gemaakt met behulp van IHttpClientFactory in ASP.NET Core-apps:

• Middleware voor uitgaande verzoeken
• DI gebruiken in middleware voor uitgaande aanvragen

In het volgende voorbeeld wordt AuthenticationStateProvider gebruikt om een aangepaste gebruikersnaamheader toe te voegen voor geverifieerde gebruikers aan uitgaande aanvragen.

Implementeer eerst de CircuitServicesAccessor-klasse in de volgende sectie van het artikel Blazor afhankelijkheidsinjectie (DI):

Toegang tot server-side Blazor services vanuit een andere DI-scope

Gebruik de CircuitServicesAccessor voor toegang tot de AuthenticationStateProvider in de DelegatingHandler-implementatie.

AuthenticationStateHandler.cs:

public class AuthenticationStateHandler(
    CircuitServicesAccessor circuitServicesAccessor) 
    : DelegatingHandler
{
    protected override async Task<HttpResponseMessage> SendAsync(
        HttpRequestMessage request, CancellationToken cancellationToken)
    {
        var authStateProvider = circuitServicesAccessor.Services
            .GetRequiredService<AuthenticationStateProvider>();
        var authState = await authStateProvider.GetAuthenticationStateAsync();
        var user = authState.User;

        if (user.Identity is not null && user.Identity.IsAuthenticated)
        {
            request.Headers.Add("X-USER-IDENTITY-NAME", user.Identity.Name);
        }

        return await base.SendAsync(request, cancellationToken);
    }
}

Registreer in het Program bestand de AuthenticationStateHandler en voeg de handler toe aan de IHttpClientFactory waarmee HttpClient exemplaren worden gemaakt:

builder.Services.AddTransient<AuthenticationStateHandler>();

builder.Services.AddHttpClient("HttpMessageHandler")
    .AddHttpMessageHandler<AuthenticationStateHandler>();