伺服器端 ASP.NET Core Blazor 其他安全性情節

此文章說明如何針對其他安全性情節設定伺服器端 Blazor，包括如何將權杖傳遞至 Blazor 應用程式。

注意

本文中的程式碼範例採用 可為 Null 的參考型別 (NRT) 和 .NET 編譯器 Null 狀態靜態分析，這在 .NET 6 或更新版本的 ASP.NET Core 中受到支援。 以 ASP.NET Core 5.0 或更早版本為目標時，請從此文章範例的 string?、TodoItem[]?、WeatherForecast[]? 和 IEnumerable<GitHubBranch>? 類型中移除 Null 類型指定 (?)。

將權杖傳遞至伺服器端 Blazor 應用程式

本節有關於 Blazor Web 應用程式的內容即將更新 更新有關在 Blazor Web 應用程式中傳遞權杖的小節 (dotnet/AspNetCore.Docs #31691)。 如需詳細資訊，請參閱在互動式伺服器模式中為 HttpClient 提供存取權杖時發生問題 (dotnet/aspnetcore #52390)。

針對 Blazor Server，請檢視本文有關 7.0 版的小節。

設定驗證配置

對於使用多個驗證中介軟體因而具有多個驗證配置的應用程式，可以在 Program 檔案的端點設定中明確設定 Blazor 所使用的配置。 下列範例會設定 OpenID Connect (OIDC) 配置：

using Microsoft.AspNetCore.Authentication.OpenIdConnect;

...

app.MapRazorComponents<App>().RequireAuthorization(
    new AuthorizeAttribute
    {
        AuthenticationSchemes = OpenIdConnectDefaults.AuthenticationScheme
    })
    .AddInteractiveServerRenderMode();

用來為自訂服務擷取使用者的線路處理常式

使用 CircuitHandler 從 AuthenticationStateProvider 擷取使用者，並在服務中設定使用者。 如果您要更新使用者，請將回撥註冊到 AuthenticationStateChanged 並將 Task 排入佇列，以取得新的使用者並更新服務。 下列範例會示範此方法。

在以下範例中：

• 每次線路重新連線時都會呼叫 OnConnectionUpAsync，為連線的存留期設定使用者。 除非您透過處理常式來實作驗證變更的更新 (下列範例中的 AuthenticationChanged)，否則只需要 OnConnectionUpAsync 方法。
• 呼叫 OnCircuitOpenedAsync 以附加驗證變更的處理常式 AuthenticationChanged，以更新使用者。
• UpdateAuthentication 工作的 catch 區塊不會對例外狀況採取任何動作，因為目前無法在執行程式碼時將它們回報。 如果有例外狀況從工作擲回，則會在應用程式中的其他位置回報例外狀況。

UserService.cs：

using System.Security.Claims;
using Microsoft.AspNetCore.Components.Authorization;
using Microsoft.AspNetCore.Components.Server.Circuits;

public class UserService
{
    private ClaimsPrincipal currentUser = new(new ClaimsIdentity());

    public ClaimsPrincipal GetUser()
    {
        return currentUser;
    }

    internal void SetUser(ClaimsPrincipal user)
    {
        if (currentUser != user)
        {
            currentUser = user;
        }
    }
}

internal sealed class UserCircuitHandler : CircuitHandler, IDisposable
{
    private readonly AuthenticationStateProvider authenticationStateProvider;
    private readonly UserService userService;

    public UserCircuitHandler(
        AuthenticationStateProvider authenticationStateProvider,
        UserService userService)
    {
        this.authenticationStateProvider = authenticationStateProvider;
        this.userService = userService;
    }

    public override Task OnCircuitOpenedAsync(Circuit circuit, 
        CancellationToken cancellationToken)
    {
        authenticationStateProvider.AuthenticationStateChanged += 
            AuthenticationChanged;

        return base.OnCircuitOpenedAsync(circuit, cancellationToken);
    }

    private void AuthenticationChanged(Task<AuthenticationState> task)
    {
        _ = UpdateAuthentication(task);

        async Task UpdateAuthentication(Task<AuthenticationState> task)
        {
            try
            {
                var state = await task;
                userService.SetUser(state.User);
            }
            catch
            {
            }
        }
    }

    public override async Task OnConnectionUpAsync(Circuit circuit, 
        CancellationToken cancellationToken)
    {
        var state = await authenticationStateProvider.GetAuthenticationStateAsync();
        userService.SetUser(state.User);
    }

    public void Dispose()
    {
        authenticationStateProvider.AuthenticationStateChanged -= 
            AuthenticationChanged;
    }
}

在 Program 檔案中：

using Microsoft.AspNetCore.Components.Server.Circuits;
using Microsoft.Extensions.DependencyInjection.Extensions;

...

builder.Services.AddScoped<UserService>();
builder.Services.TryAddEnumerable(
    ServiceDescriptor.Scoped<CircuitHandler, UserCircuitHandler>());

使用元件中的服務來取得使用者：

@inject UserService UserService

<h1>Hello, @(UserService.GetUser().Identity?.Name ?? "world")!</h1>

若要在 MVC、Razor Pages 和其他 ASP.NET Core 情節的中介軟體中設定使用者，請在驗證中介軟體執行之後呼叫自訂中介軟體中 UserService 上的 SetUser，或以 IClaimsTransformation 實作來設定使用者。 下列範例採用中介軟體方法。

UserServiceMiddleware.cs：

public class UserServiceMiddleware
{
    private readonly RequestDelegate next;

    public UserServiceMiddleware(RequestDelegate next)
    {
        this.next = next ?? throw new ArgumentNullException(nameof(next));
    }

    public async Task InvokeAsync(HttpContext context, UserService service)
    {
        service.SetUser(context.User);
        await next(context);
    }
}

在即將呼叫 Program 檔案中的 app.MapRazorComponents<App>() 之前，呼叫中介軟體：

app.UseMiddleware<UserServiceMiddleware>();

在傳出要求中介軟體中存取 AuthenticationStateProvider

以 IHttpClientFactory 建立之 HttpClientDelegatingHandler 中的 AuthenticationStateProvider，可以使用線路活動處理常式在傳出要求中介軟體中存取。

注意

如需取得一般指引，了解如何在 ASP.NET Core 應用程式中使用 IHttpClientFactory 建立的 HttpClient 執行個體來定義 HTTP 要求的委派處理常式，請參閱在 ASP.NET Core 中使用 IHttpClientFactory 提出 HTTP 要求 (部分機器翻譯) 的下列各節內容：

• 傳出要求中介軟體 (部分機器翻譯)
• 在傳出要求中介軟體中使用 DI (部分機器翻譯)

下列範例使用 AuthenticationStateProvider 將已驗證使用者的自訂使用者名稱標頭附加至傳出要求。

首先，實作 Blazor 相依性插入 (DI) 文章下列部分中的 CircuitServicesAccessor 類別：

從不同的 DI 範圍存取伺服器端 Blazor 服務 (部分機器翻譯)

使用 CircuitServicesAccessor 存取 DelegatingHandler 實作中的 AuthenticationStateProvider。

AuthenticationStateHandler.cs：

public class AuthenticationStateHandler : DelegatingHandler
{
    readonly CircuitServicesAccessor circuitServicesAccessor;

    public AuthenticationStateHandler(
        CircuitServicesAccessor circuitServicesAccessor)
    {
        this.circuitServicesAccessor = circuitServicesAccessor;
    }

    protected override async Task<HttpResponseMessage> SendAsync(
        HttpRequestMessage request, CancellationToken cancellationToken)
    {
        var authStateProvider = circuitServicesAccessor.Services
            .GetRequiredService<AuthenticationStateProvider>();
        var authState = await authStateProvider.GetAuthenticationStateAsync();
        var user = authState.User;

        if (user.Identity is not null && user.Identity.IsAuthenticated)
        {
            request.Headers.Add("X-USER-IDENTITY-NAME", user.Identity.Name);
        }

        return await base.SendAsync(request, cancellationToken);
    }
}

在 Program 檔案中，註冊 AuthenticationStateHandler 並將處理常式新增至建立 HttpClient 執行個體的 IHttpClientFactory：

builder.Services.AddTransient<AuthenticationStateHandler>();

builder.Services.AddHttpClient("HttpMessageHandler")
    .AddHttpMessageHandler<AuthenticationStateHandler>();