サーバー側の ASP.NET Core Blazor の追加のセキュリティ シナリオ

この記事では、Blazor アプリにトークンを渡す方法など、追加のセキュリティ シナリオのためにサーバー側の Blazor を構成する方法について説明します。

Note

この記事のコード例では、null 許容参照型 (NRT) と .NET コンパイラの null 状態スタティック分析を採用しています。これは、.NET 6 以降の ASP.NET Core でサポートされています。 ASP.NET Core 5.0 以前をターゲットとする場合は、記事の例の string?、TodoItem[]?、WeatherForecast[]?、および IEnumerable<GitHubBranch>? 型から null 型の指定 (?) を削除します。

サーバー側の Blazor アプリにトークンを渡す

Blazor Web Apps のこのセクションの更新は、Blazor Web Apps ( dotnet/AspNetCore.Docs #31691) でのトークンの受け渡しに関する更新セクションを保留中です。 詳細については、「対話型サーバー モードでの HttpClient へのアクセス トークンの提供に関する問題 ( dotnet/aspnetcore#52390)」を参照してください。

Blazor Server については、この記事セクションの 7.0 バージョンを参照してください。

認証スキームを設定する

複数の認証ミドルウェアを使用しているため、複数の認証スキームがあるアプリの場合、Blazor で使用されるスキームを、Program ファイルのエンドポイント構成で明示的に設定できます。 次の例では、OpenID Connect (OIDC) スキームを設定します。

using Microsoft.AspNetCore.Authentication.OpenIdConnect;

...

app.MapRazorComponents<App>().RequireAuthorization(
    new AuthorizeAttribute
    {
        AuthenticationSchemes = OpenIdConnectDefaults.AuthenticationScheme
    })
    .AddInteractiveServerRenderMode();

カスタム サービスのユーザーをキャプチャするための回線ハンドラー

AuthenticationStateProvider からユーザーをキャプチャして、サービスでそのユーザーを設定するには、CircuitHandler を使います。 ユーザーを更新する場合は、AuthenticationStateChanged にコールバックを登録し、Task をキューに入れて新しいユーザーを取得してサービスを更新します。 このアプローチの例を次に示します。

次に例を示します。

• 回線が再接続されるたびに OnConnectionUpAsync が呼び出されて、接続の有効期間がユーザーに設定されます。 認証変更用のハンドラーを使って更新を実装しない場合は (次の例では AuthenticationChanged)、OnConnectionUpAsync メソッドのみが必要です。
• OnCircuitOpenedAsync が呼び出されて、ユーザーを更新するための認証変更ハンドラー AuthenticationChanged がアタッチされます。
• コード実行のこの時点では例外を報告する方法がないため、UpdateAuthentication タスクの catch ブロックは何も行いません。 タスクから例外がスローされた場合、例外はアプリ内の別の場所で報告されます。

UserService.cs:

using System.Security.Claims;
using Microsoft.AspNetCore.Components.Authorization;
using Microsoft.AspNetCore.Components.Server.Circuits;

public class UserService
{
    private ClaimsPrincipal currentUser = new(new ClaimsIdentity());

    public ClaimsPrincipal GetUser()
    {
        return currentUser;
    }

    internal void SetUser(ClaimsPrincipal user)
    {
        if (currentUser != user)
        {
            currentUser = user;
        }
    }
}

internal sealed class UserCircuitHandler : CircuitHandler, IDisposable
{
    private readonly AuthenticationStateProvider authenticationStateProvider;
    private readonly UserService userService;

    public UserCircuitHandler(
        AuthenticationStateProvider authenticationStateProvider,
        UserService userService)
    {
        this.authenticationStateProvider = authenticationStateProvider;
        this.userService = userService;
    }

    public override Task OnCircuitOpenedAsync(Circuit circuit, 
        CancellationToken cancellationToken)
    {
        authenticationStateProvider.AuthenticationStateChanged += 
            AuthenticationChanged;

        return base.OnCircuitOpenedAsync(circuit, cancellationToken);
    }

    private void AuthenticationChanged(Task<AuthenticationState> task)
    {
        _ = UpdateAuthentication(task);

        async Task UpdateAuthentication(Task<AuthenticationState> task)
        {
            try
            {
                var state = await task;
                userService.SetUser(state.User);
            }
            catch
            {
            }
        }
    }

    public override async Task OnConnectionUpAsync(Circuit circuit, 
        CancellationToken cancellationToken)
    {
        var state = await authenticationStateProvider.GetAuthenticationStateAsync();
        userService.SetUser(state.User);
    }

    public void Dispose()
    {
        authenticationStateProvider.AuthenticationStateChanged -= 
            AuthenticationChanged;
    }
}

Program ファイルで次の操作を行います。

using Microsoft.AspNetCore.Components.Server.Circuits;
using Microsoft.Extensions.DependencyInjection.Extensions;

...

builder.Services.AddScoped<UserService>();
builder.Services.TryAddEnumerable(
    ServiceDescriptor.Scoped<CircuitHandler, UserCircuitHandler>());

コンポーネントでサービスを使って、ユーザーを取得します。

@inject UserService UserService

<h1>Hello, @(UserService.GetUser().Identity?.Name ?? "world")!</h1>

MVC、Razor Pages、その他の ASP.NET Core のシナリオのミドルウェアでユーザーを設定するには、認証ミドルウェアの実行後にカスタム ミドルウェアで UserService に対して SetUser を呼び出すか、IClaimsTransformation の実装でユーザーを設定します。 次の例では、ミドルウェアの方法を使っています。

UserServiceMiddleware.cs:

public class UserServiceMiddleware
{
    private readonly RequestDelegate next;

    public UserServiceMiddleware(RequestDelegate next)
    {
        this.next = next ?? throw new ArgumentNullException(nameof(next));
    }

    public async Task InvokeAsync(HttpContext context, UserService service)
    {
        service.SetUser(context.User);
        await next(context);
    }
}

Program ファイルで app.MapRazorComponents<App>() を呼び出す直前に、ミドルウェアを呼び出します。

app.UseMiddleware<UserServiceMiddleware>();

送信要求ミドルウェアで AuthenticationStateProvider にアクセスする

IHttpClientFactory で作成された HttpClient 用の DelegatingHandler からの AuthenticationStateProvider には、回線アクティビティ ハンドラーを使用して送信リクエスト ミドルウェアでアクセスできます。

注意

ASP.NET Core アプリで IHttpClientFactory を使用して作成された HttpClient インスタンスごとに HTTP リクエスト用の委任ハンドラーを定義する方法の一般的なガイダンスについては、「ASP.NET Core で IHttpClientFactory を使用して HTTP 要求を行う」における以下のセクションを参照してください。

• 送信要求ミドルウェア
• 送信要求ミドルウェアで DI を使用する

次の例では、AuthenticationStateProvider を使用して、認証済みユーザーのカスタム ユーザー名ヘッダーを送信要求に添付します。

まず、Blazor 依存関係の挿入 (DI) に関する記事の以下のセクションで CircuitServicesAccessor クラスを実装します。

異なる DI スコープからサーバー側の Blazor サービスにアクセスする

CircuitServicesAccessor を使用して、DelegatingHandler 実装の AuthenticationStateProvider にアクセスします。

AuthenticationStateHandler.cs:

public class AuthenticationStateHandler : DelegatingHandler
{
    readonly CircuitServicesAccessor circuitServicesAccessor;

    public AuthenticationStateHandler(
        CircuitServicesAccessor circuitServicesAccessor)
    {
        this.circuitServicesAccessor = circuitServicesAccessor;
    }

    protected override async Task<HttpResponseMessage> SendAsync(
        HttpRequestMessage request, CancellationToken cancellationToken)
    {
        var authStateProvider = circuitServicesAccessor.Services
            .GetRequiredService<AuthenticationStateProvider>();
        var authState = await authStateProvider.GetAuthenticationStateAsync();
        var user = authState.User;

        if (user.Identity is not null && user.Identity.IsAuthenticated)
        {
            request.Headers.Add("X-USER-IDENTITY-NAME", user.Identity.Name);
        }

        return await base.SendAsync(request, cancellationToken);
    }
}

Program ファイルで、AuthenticationStateHandler を登録し、HttpClient インスタンスを作成する IHttpClientFactory にハンドラーを追加します。

builder.Services.AddTransient<AuthenticationStateHandler>();

builder.Services.AddHttpClient("HttpMessageHandler")
    .AddHttpMessageHandler<AuthenticationStateHandler>();