ASP.NET Core 伺服器端和其他 Blazor Web App 安全性案例

此文章說明如何針對其他安全性情節設定伺服器端 Blazor，包括如何將權杖傳遞至 Blazor 應用程式。

注意

本文中的程式碼範例採用 可為 Null 的參考型別 (NRT) 和 .NET 編譯器 Null 狀態靜態分析，這在 .NET 6 或更新版本的 ASP.NET Core 中受到支援。 以 ASP.NET Core 5.0 或更早版本為目標時，請從此文章範例的 string?、TodoItem[]?、WeatherForecast[]? 和 IEnumerable<GitHubBranch>? 類型中移除 Null 類型指定 (?)。

將權杖傳遞至伺服器端 Blazor 應用程式

本節有關於 Blazor Web App 即將更新在 Blazor Web App 中傳遞令牌的小節 (dotnet/AspNetCore.Docs #31691)。 如需詳細資訊，請參閱在互動式伺服器模式中為 HttpClient 提供存取權杖時發生問題 (dotnet/aspnetcore #52390)。

針對 Blazor Server，請檢視本文有關 7.0 版的小節。

設定驗證配置

對於使用多個驗證中介軟體因而具有多個驗證配置的應用程式，可以在 Program 檔案的端點設定中明確設定 Blazor 所使用的配置。 下列範例會設定 OpenID Connect (OIDC) 配置：

using Microsoft.AspNetCore.Authentication.OpenIdConnect;

...

app.MapRazorComponents<App>().RequireAuthorization(
    new AuthorizeAttribute
    {
        AuthenticationSchemes = OpenIdConnectDefaults.AuthenticationScheme
    })
    .AddInteractiveServerRenderMode();

用來為自訂服務擷取使用者的線路處理常式

使用 CircuitHandler 從 AuthenticationStateProvider 擷取使用者，並在服務中設定使用者。 如果您要更新使用者，請註冊 AuthenticationStateChanged 的回撥，並將 Task 加入佇列，以取得新的使用者並更新服務。 下列範例會示範此方法。

在以下範例中：

• 每次線路重新連線時都會呼叫 OnConnectionUpAsync，為連線的存留期設定使用者。 除非您透過處理常式來實作驗證變更的更新 (下列範例中的 AuthenticationChanged)，否則只需要 OnConnectionUpAsync 方法。
• 呼叫 OnCircuitOpenedAsync 以附加驗證變更的處理常式 AuthenticationChanged，以更新使用者。
• UpdateAuthentication 工作的 catch 區塊不會對例外狀況採取任何動作，因為目前無法在執行程式碼時報告例外狀況。 如果有例外狀況從工作擲回，則會在應用程式中的其他位置回報例外狀況。

UserService.cs：

using System.Security.Claims;
using Microsoft.AspNetCore.Components.Authorization;
using Microsoft.AspNetCore.Components.Server.Circuits;

public class UserService
{
    private ClaimsPrincipal currentUser = new(new ClaimsIdentity());

    public ClaimsPrincipal GetUser() => currentUser;

    internal void SetUser(ClaimsPrincipal user)
    {
        if (currentUser != user)
        {
            currentUser = user;
        }
    }
}

internal sealed class UserCircuitHandler(
        AuthenticationStateProvider authenticationStateProvider,
        UserService userService) 
        : CircuitHandler, IDisposable
{
    public override Task OnCircuitOpenedAsync(Circuit circuit, 
        CancellationToken cancellationToken)
    {
        authenticationStateProvider.AuthenticationStateChanged += 
            AuthenticationChanged;

        return base.OnCircuitOpenedAsync(circuit, cancellationToken);
    }

    private void AuthenticationChanged(Task<AuthenticationState> task)
    {
        _ = UpdateAuthentication(task);

        async Task UpdateAuthentication(Task<AuthenticationState> task)
        {
            try
            {
                var state = await task;
                userService.SetUser(state.User);
            }
            catch
            {
            }
        }
    }

    public override async Task OnConnectionUpAsync(Circuit circuit, 
        CancellationToken cancellationToken)
    {
        var state = await authenticationStateProvider.GetAuthenticationStateAsync();
        userService.SetUser(state.User);
    }

    public void Dispose()
    {
        authenticationStateProvider.AuthenticationStateChanged -= 
            AuthenticationChanged;
    }
}

在 Program 檔案中：

using Microsoft.AspNetCore.Components.Server.Circuits;
using Microsoft.Extensions.DependencyInjection.Extensions;

...

builder.Services.AddScoped<UserService>();
builder.Services.TryAddEnumerable(
    ServiceDescriptor.Scoped<CircuitHandler, UserCircuitHandler>());

使用元件中的服務來取得使用者：

@inject UserService UserService

<h1>Hello, @(UserService.GetUser().Identity?.Name ?? "world")!</h1>

若要在 MVC、Razor Pages 和其他 ASP.NET Core 情節的中介軟體中設定使用者，請在驗證中介軟體執行之後呼叫自訂中介軟體中 UserService 上的 SetUser，或以 IClaimsTransformation 實作來設定使用者。 下列範例採用中介軟體方法。

UserServiceMiddleware.cs：

public class UserServiceMiddleware
{
    private readonly RequestDelegate next;

    public UserServiceMiddleware(RequestDelegate next)
    {
        this.next = next ?? throw new ArgumentNullException(nameof(next));
    }

    public async Task InvokeAsync(HttpContext context, UserService service)
    {
        service.SetUser(context.User);
        await next(context);
    }
}

在即將呼叫 Program 檔案中的 app.MapRazorComponents<App>() 之前，呼叫中介軟體：

app.UseMiddleware<UserServiceMiddleware>();

在傳出要求中介軟體中存取 AuthenticationStateProvider

以 IHttpClientFactory 建立之 HttpClientDelegatingHandler 中的 AuthenticationStateProvider，可以使用線路活動處理常式在傳出要求中介軟體中存取。

注意

如需取得一般指引，了解如何在 ASP.NET Core 應用程式中使用 IHttpClientFactory 建立的 HttpClient 執行個體來定義 HTTP 要求的委派處理常式，請參閱在 ASP.NET Core 中使用 IHttpClientFactory 提出 HTTP 要求 (部分機器翻譯) 的下列各節內容：

• 傳出要求中介軟體 (部分機器翻譯)
• 在傳出要求中介軟體中使用 DI (部分機器翻譯)

下列範例使用 AuthenticationStateProvider 將已驗證使用者的自訂使用者名稱標頭附加至傳出要求。

首先，實作 Blazor 相依性插入 (DI) 文章下列部分中的 CircuitServicesAccessor 類別：

從不同的 DI 範圍存取伺服器端 Blazor 服務 (部分機器翻譯)

使用 CircuitServicesAccessor 存取 DelegatingHandler 實作中的 AuthenticationStateProvider。

AuthenticationStateHandler.cs：

public class AuthenticationStateHandler(
    CircuitServicesAccessor circuitServicesAccessor) 
    : DelegatingHandler
{
    protected override async Task<HttpResponseMessage> SendAsync(
        HttpRequestMessage request, CancellationToken cancellationToken)
    {
        var authStateProvider = circuitServicesAccessor.Services
            .GetRequiredService<AuthenticationStateProvider>();
        var authState = await authStateProvider.GetAuthenticationStateAsync();
        var user = authState.User;

        if (user.Identity is not null && user.Identity.IsAuthenticated)
        {
            request.Headers.Add("X-USER-IDENTITY-NAME", user.Identity.Name);
        }

        return await base.SendAsync(request, cancellationToken);
    }
}

在 Program 檔案中，註冊 AuthenticationStateHandler 並將處理常式新增至建立 HttpClient 執行個體的 IHttpClientFactory：

builder.Services.AddTransient<AuthenticationStateHandler>();

builder.Services.AddHttpClient("HttpMessageHandler")
    .AddHttpMessageHandler<AuthenticationStateHandler>();