ASP.NET 核心服务器端和其他 Blazor Web App 安全方案

本文介绍如何为其他安全方案配置服务器端 Blazor，其中包括如何将令牌传递给 Blazor 应用。

注意

本文中的代码示例采用在 .NET 6 或更高版本的 ASP.NET Core 中支持的可为空的引用类型 (NRT) 和 .NET 编译器 Null 状态静态分析。 面向 ASP.NET Core 5.0 或更早版本时，请从文章示例中的 string?、TodoItem[]?、WeatherForecast[]? 和 IEnumerable<GitHubBranch>? 类型中删除 NULL 类型指定 (?)。

将令牌传递到服务器端 Blazor 应用

正在等待更新 Blazor Web App 的此部分更新有关在 Blazor Web App 中传递令牌的部分 (dotnet/AspNetCore.Docs #31691)。 有关详细信息，请参阅在交互式服务器模式 (dotnet/aspnetcore #52390) 下向 HttpClient 提供访问令牌的问题。

有关 Blazor Server，请查看本文 7.0 版本部分。

设置身份验证方案

对于使用多个身份验证中间件并因此具有多个身份验证方案的应用，可以在 Program 文件的终结点配置中显式设置 Blazor 使用的方案。 以下示例设置 OpenID Connect (OIDC) 方案：

using Microsoft.AspNetCore.Authentication.OpenIdConnect;

...

app.MapRazorComponents<App>().RequireAuthorization(
    new AuthorizeAttribute
    {
        AuthenticationSchemes = OpenIdConnectDefaults.AuthenticationScheme
    })
    .AddInteractiveServerRenderMode();

用于捕获自定义服务用户的线路处理程序

使用 CircuitHandler 从 AuthenticationStateProvider 捕获用户，并在服务中设置用户。 如果要更新用户，请将回调注册到 AuthenticationStateChanged，并将 Task 排入队列以获取新用户和更新此服务。 下面的示例演示了该方法。

如下示例中：

• 每次线路重新连接时调用 OnConnectionUpAsync，设置用户的连接生存期。 除非通过处理程序执行更新来实现身份验证更改（以下示例中的 AuthenticationChanged），否则仅需要 OnConnectionUpAsync 方法。
• 调用 OnCircuitOpenedAsync 以附加身份验证更改的处理程序 AuthenticationChanged 才能对用户进行更新。
• UpdateAuthentication 任务的 catch 块不对异常执行任何操作，因为此时无法在代码执行中报告异常。 如果从任务引发异常，则会在应用中的其他位置报告该异常。

UserService.cs:

using System.Security.Claims;
using Microsoft.AspNetCore.Components.Authorization;
using Microsoft.AspNetCore.Components.Server.Circuits;

public class UserService
{
    private ClaimsPrincipal currentUser = new(new ClaimsIdentity());

    public ClaimsPrincipal GetUser() => currentUser;

    internal void SetUser(ClaimsPrincipal user)
    {
        if (currentUser != user)
        {
            currentUser = user;
        }
    }
}

internal sealed class UserCircuitHandler(
        AuthenticationStateProvider authenticationStateProvider,
        UserService userService) 
        : CircuitHandler, IDisposable
{
    public override Task OnCircuitOpenedAsync(Circuit circuit, 
        CancellationToken cancellationToken)
    {
        authenticationStateProvider.AuthenticationStateChanged += 
            AuthenticationChanged;

        return base.OnCircuitOpenedAsync(circuit, cancellationToken);
    }

    private void AuthenticationChanged(Task<AuthenticationState> task)
    {
        _ = UpdateAuthentication(task);

        async Task UpdateAuthentication(Task<AuthenticationState> task)
        {
            try
            {
                var state = await task;
                userService.SetUser(state.User);
            }
            catch
            {
            }
        }
    }

    public override async Task OnConnectionUpAsync(Circuit circuit, 
        CancellationToken cancellationToken)
    {
        var state = await authenticationStateProvider.GetAuthenticationStateAsync();
        userService.SetUser(state.User);
    }

    public void Dispose()
    {
        authenticationStateProvider.AuthenticationStateChanged -= 
            AuthenticationChanged;
    }
}

在 Program 文件中：

using Microsoft.AspNetCore.Components.Server.Circuits;
using Microsoft.Extensions.DependencyInjection.Extensions;

...

builder.Services.AddScoped<UserService>();
builder.Services.TryAddEnumerable(
    ServiceDescriptor.Scoped<CircuitHandler, UserCircuitHandler>());

使用组件中的服务获取用户：

@inject UserService UserService

<h1>Hello, @(UserService.GetUser().Identity?.Name ?? "world")!</h1>

若要在 MVC、Razor Pages 和其他 ASP.NET Core 方案的中间件中设置用户，请在身份验证中间件运行后在自定义中间件中调用 UserService 上的 SetUser，或使用 IClaimsTransformation 实现设置用户。 以下示例采用中间件方法。

UserServiceMiddleware.cs:

public class UserServiceMiddleware
{
    private readonly RequestDelegate next;

    public UserServiceMiddleware(RequestDelegate next)
    {
        this.next = next ?? throw new ArgumentNullException(nameof(next));
    }

    public async Task InvokeAsync(HttpContext context, UserService service)
    {
        service.SetUser(context.User);
        await next(context);
    }
}

在即将调用 Program 文件中的 app.MapRazorComponents<App>() 之前，调用中间件：

app.UseMiddleware<UserServiceMiddleware>();

在传出请求中间件中访问 AuthenticationStateProvider

使用 IHttpClientFactory 创建的针对 HttpClient 的 DelegatingHandler 中的 AuthenticationStateProvider 可使用线路活动处理程序在传出请求中间件中访问。

注意

如需了解关于通过在 ASP.NET Core 应用中使用 IHttpClientFactory 创建的 HttpClient 实例定义 HTTP 请求的委托处理程序的一般指导，可参阅在 ASP.NET Core 中使用 IHttpClientFactory 发出 HTTP 请求的以下部分：

• 出站请求中间件
• 在出站请求中间件中使用 DI

以下示例使用 AuthenticationStateProvider 将经过身份验证的用户的自定义用户名标头附加到传出请求。

首先在 Blazor 依赖项注入 (DI) 文章的以下部分中实现 CircuitServicesAccessor 类：

从其他 DI 范围访问服务器端 Blazor 服务

使用 CircuitServicesAccessor 访问 DelegatingHandler 实现中的 AuthenticationStateProvider。

AuthenticationStateHandler.cs:

public class AuthenticationStateHandler(
    CircuitServicesAccessor circuitServicesAccessor) 
    : DelegatingHandler
{
    protected override async Task<HttpResponseMessage> SendAsync(
        HttpRequestMessage request, CancellationToken cancellationToken)
    {
        var authStateProvider = circuitServicesAccessor.Services
            .GetRequiredService<AuthenticationStateProvider>();
        var authState = await authStateProvider.GetAuthenticationStateAsync();
        var user = authState.User;

        if (user.Identity is not null && user.Identity.IsAuthenticated)
        {
            request.Headers.Add("X-USER-IDENTITY-NAME", user.Identity.Name);
        }

        return await base.SendAsync(request, cancellationToken);
    }
}

在 Program 文件中注册 AuthenticationStateHandler，并将处理程序添加到创建 HttpClient 实例的 IHttpClientFactory：

builder.Services.AddTransient<AuthenticationStateHandler>();

builder.Services.AddHttpClient("HttpMessageHandler")
    .AddHttpMessageHandler<AuthenticationStateHandler>();