使用 Microsoft 帳戶來保護 ASP.NET Core Blazor WebAssembly 獨立應用程式

發行項
2025-04-12

Note

這不是這篇文章的最新版本。如需目前的版本，請參閱本文的 .NET 9 版本。

警告

不再支援此版本的 ASP.NET Core。如需詳細資訊，請參閱 .NET 和 .NET Core 支持原則。如需目前的版本，請參閱本文的 .NET 9 版本。

重要

這些發行前產品的相關資訊在產品正式發行前可能會有大幅修改。 Microsoft 對此處提供的資訊，不做任何明示或暗示的保證。

如需目前的版本，請參閱本文的 .NET 9 版本。

本文說明如何建立使用 Blazor WebAssembly 進行驗證的獨立應用程式。

在閱讀本文之後，如需其他安全性案例涵蓋範圍，請參閱 ASP.NET Core Blazor WebAssembly 其他安全性案例。

Walkthrough

The subsections of the walkthrough explain how to:

在 Azure 中建立租户
在 Azure 中註冊應用程式
建立 Blazor 應用程式
執行應用程式

在 Azure 中建立租户

請遵循快速入門：設定租用戶中的指導，以在 ME-ID 中建立租用戶。

在 Azure 中註冊應用程式

註冊 ME-ID 應用程式：

在 Azure 入口網站中導覽至 Microsoft Entra ID。選取資訊看板中的 [應用程式註冊]。選取 [新增註冊] 按鈕。
提供應用程式的名稱（例如，Blazor 獨立 ME-ID MS 帳戶）。
在 [支援的帳戶類型] 中，選取 [任何組織目錄 (任何 Microsoft Entra ID 目錄 – 多租用戶) 中的帳戶]。
將 [重新導向 URI] 下拉式清單設定為 [單頁應用程式 (SPA)]，並提供下列重新導向 URI：https://localhost/authentication/login-callback。如果您知道 Azure 預設主機 (例如 azurewebsites.net) 或自訂網域主機 (例如 contoso.com) 的生產重新導向 URI，您也可以在提供 localhost 重新導向 URI 的同時新增生產重新導向 URI。請務必在您新增的任何生產重新導向 URI 中，包含非 :443 連接埠的埠號。
If you're using an unverified publisher domain, clear the Permissions>Grant admin consent to openid and offline_access permissions checkbox. 如果已驗證發行者網域，則此核取方塊不存在。
選取註冊。

Note

不需要提供 localhost ME-ID 重新導向 URI 的連接埠號碼。 For more information, see Redirect URI (reply URL) restrictions and limitations: Localhost exceptions (Entra documentation).

記錄應用程式 (用戶端) 識別碼 (例如 00001111-aaaa-2222-bbbb-3333cccc4444)。

在 [驗證]> [平台組態]> [單頁應用程式] 中：

確認 https://localhost/authentication/login-callback 的重新導向 URI 存在。
在 [隱含授與] 區段中，確定未選取 [存取權杖] 和 [識別碼權杖] 核取方塊。 不建議針對使用 MSAL v2.0 或更新版本的 Blazor 應用程式使用隱含授與。 如需詳細資訊，請參閱保護 ASP.NET Core 的安全Blazor WebAssembly。
The remaining defaults for the app are acceptable for this experience.
如果您做了變更，請選取 [儲存] 按鈕。

建立 Blazor 應用程式

建立應用程式。 Replace the placeholders in the following command with the information recorded earlier and execute the following command in a command shell:

dotnet new blazorwasm -au SingleOrg --client-id "{CLIENT ID}" --tenant-id "common" -o {PROJECT NAME}

Placeholder	Azure 入口網站名稱	範例
`{PROJECT NAME}`	—	`BlazorSample`
`{CLIENT ID}`	應用程式 (用戶端) 識別碼	`00001111-aaaa-2222-bbbb-3333cccc4444`

使用 -o|--output 選項指定的輸出位置會在專案資料夾不存在時建立專案資料夾，並且成為專案名稱的一部分。

Add a pair of MsalProviderOptions for openid and offline_accessDefaultAccessTokenScopes:

builder.Services.AddMsalAuthentication(options =>
{
    ...
    options.ProviderOptions.DefaultAccessTokenScopes.Add("openid");
    options.ProviderOptions.DefaultAccessTokenScopes.Add("offline_access");
});

執行應用程式

使用下列其中一種方法來執行應用程式：

Visual Studio
- 選取執行按鈕。
- 從選單中使用偵錯>開始偵錯。
- 請按 F5。
.NET CLI 命令殼層：從應用程式的資料夾執行 dotnet watch (或 dotnet run) 命令。

應用程式的組件

本節說明從 Blazor WebAssembly 專案範本產生的應用程式組件，以及應用程式的設定方式。如果您使用逐步解說一節中的指導來建立應用程式，則本節中沒有針對基本工作應用程式可遵循的任何特定指導。本節中的指導有助於更新應用程式以驗證和授權使用者。不過，更新應用程式的替代方法是從逐步解說一節中的指導建立新的應用程式，並將應用程式的元件、類別和資源移至新的應用程式。

驗證套件

建立應用程式以使用公司或學校帳戶 (SingleOrg) 時，應用程式會自動收到 Microsoft 驗證程式庫 (Microsoft.Authentication.WebAssembly.Msal) 的套件參考。套件提供一組基本類型，可協助應用程式驗證使用者，並取得權杖來呼叫受保護的 API。

如果將驗證新增至應用程式，請手動將 Microsoft.Authentication.WebAssembly.Msal 套件新增至應用程式。

Note

如需將套件新增至 .NET 應用程式的指引，請參閱在套件取用工作流程 (NuGet 文件) 的安裝及管理套件底下的文章。在 NuGet.org 確認正確的套件版本。

Microsoft.Authentication.WebAssembly.Msal 套件可轉移性地將 Microsoft.AspNetCore.Components.WebAssembly.Authentication 套件新增至應用程式。

驗證服務支援

Support for authenticating users is registered in the service container with the AddMsalAuthentication extension method provided by the Microsoft.Authentication.WebAssembly.Msal package. 這個方法會設定應用程式與 Identity 提供者 (IP) 互動所需的所有服務。

在 Program 檔案中：

builder.Services.AddMsalAuthentication(options =>
{
    builder.Configuration.Bind("AzureAd", options.ProviderOptions.Authentication);
});

AddMsalAuthentication 方法接受回呼，以設定驗證應用程式所需的參數。當您註冊應用程式時，可以從 ME-ID 組態取得設定所需的值。

`wwwroot/appsettings.json` 設定

由 wwwroot/appsettings.json 檔案提供組態設定：

{
  "AzureAd": {
    "Authority": "https://login.microsoftonline.com/common",
    "ClientId": "{CLIENT ID}",
    "ValidateAuthority": true
  }
}

範例：

{
  "AzureAd": {
    "Authority": "https://login.microsoftonline.com/common",
    "ClientId": "00001111-aaaa-2222-bbbb-3333cccc4444",
    "ValidateAuthority": true
  }
}

存取令牌範圍

Blazor WebAssembly 範本不會自動設定應用程式，以請求用於安全 API 的存取權杖。若要在登入流程中佈建存取權杖，請將範圍新增至 MsalProviderOptions 的預設存取權杖範圍：

builder.Services.AddMsalAuthentication(options =>
{
    ...
    options.ProviderOptions.DefaultAccessTokenScopes.Add("{SCOPE URI}");
});

使用 AdditionalScopesToConsent 指定其他範圍：

options.ProviderOptions.AdditionalScopesToConsent.Add("{ADDITIONAL SCOPE URI}");

Note

AdditionalScopesToConsent for Microsoft Graph via the Microsoft Entra ID consent UI when a user first uses an app registered in Microsoft Azure. 如需詳細資訊，請參閱搭配 ASP.NET Core Blazor WebAssembly 使用 Graph API。

如需詳細資訊，請參閱其他案例文章的下列各節：

預設架構為快顯視窗登入模式，如果無法開啟快顯視窗，則退回至重新導向登入模式。將 LoginMode 的 MsalProviderOptions 屬性設定為 redirect，設定 MSAL 以使用重新導向登入模式：

builder.Services.AddMsalAuthentication(options =>
{
    ...
    options.ProviderOptions.LoginMode = "redirect";
});

預設設定為 popup，且字串值不區分大小寫。

匯入檔案

Microsoft.AspNetCore.Components.Authorization 命名空間可透過 _Imports.razor 檔案在整個應用程式中使用：

...
@using Microsoft.AspNetCore.Components.Authorization
...

索引頁面

索引頁面 (wwwroot/index.html) 包含一個指令碼，用於在 JavaScript 中定義 AuthenticationService。 AuthenticationService 會處理 OIDC 通訊協定的低階詳細資料。應用程式會在內部呼叫指令碼中定義的方法，來執行驗證作業。

<script src="_content/Microsoft.Authentication.WebAssembly.Msal/AuthenticationService.js"></script>

應用程式元件

App 元件 (App.razor) 類似於在 App 應用程式中找到的 Blazor Server 元件：

AuthorizeRouteView 元件可確保目前的使用者有權存取指定頁面，否則會轉譯 RedirectToLogin 元件。
RedirectToLogin 元件會管理將未經授權的使用者重新導向至登入頁面。

CascadingAuthenticationState 元件負責將 AuthenticationState 向應用程式的其他部分曝光。
AuthorizeRouteView 元件可確保目前的使用者有權存取指定頁面，否則會轉譯 RedirectToLogin 元件。
RedirectToLogin 元件會管理將未經授權的使用者重新導向至登入頁面。

由於 ASP.NET Core 版本之間的架構變更，所以本節不會顯示 Razor 元件的 App 標記 (App.razor)。若要檢查指定版本的元件標記，請使用下列任一方法：

針對您想要使用的 ASP.NET Core 版本，從預設 Blazor WebAssembly 專案範本建立要佈建以進行驗證的應用程式。在產生的應用程式中檢查 App 元件 (App.razor)。
在App中檢查 App.razor 元件 ()。從分支選擇器中選擇版本，然後在存放庫的 ProjectTemplates 資料夾中搜尋該元件，因為它多年來已經移動。

Note

.NET 參考原始碼的文件連結通常會載入存放庫的預設分支，這代表著下一版 .NET 的當前開發。若要選取特定發行版本的標籤，請使用「切換分支或標籤」下拉式清單。如需詳細資訊，請參閱如何選取 ASP.NET Core 原始程式碼 (dotnet/AspNetCore.Docs #26205) 的版本標籤。

RedirectToLogin component

RedirectToLogin 元件 (RedirectToLogin.razor)：

Manages redirecting unauthorized users to the login page.
使用者嘗試存取的目前 URL 會被維護，以便在使用者身份驗證成功後能夠返回該頁面。
- .NET 7 或更新版本中 ASP.NET Core 中的瀏覽歷程記錄狀態。
- .NET 6 或更早版本中 ASP.NET Core 中的查詢字串。

在RedirectToLogin中檢查元件。該元件的位置已隨著時間而變更，因此請使用 GitHub 搜尋工具來找出該元件。

Note

.NET 參考原始碼的文件連結通常會載入存放庫的預設分支，這代表著下一版 .NET 的當前開發。若要選取特定發行版本的標籤，請使用「切換分支或標籤」下拉式清單。如需詳細資訊，請參閱如何選取 ASP.NET Core 原始程式碼 (dotnet/AspNetCore.Docs #26205) 的版本標籤。

LoginDisplay component

LoginDisplay 元件 (LoginDisplay.razor) 是在 MainLayout 元件 (MainLayout.razor) 中進行轉譯，並且管理下列行為：

針對已驗證的使用者：
- 顯示目前的使用者名稱。
- 提供 ASP.NET Core Identity 中使用者設定檔頁面的連結。
- 提供登出應用程式的按鈕。
針對匿名使用者：
- 提供註冊的選項。
- 提供登入的選項。

由於 ASP.NET Core 版本之間的架構變更，所以本節不會顯示 Razor 元件的 LoginDisplay 標記。若要檢查指定版本的元件標記，請使用下列任一方法：

針對您想要使用的 ASP.NET Core 版本，從預設 Blazor WebAssembly 專案範本建立要佈建以進行驗證的應用程式。在產生的應用程式中檢查 LoginDisplay 元件。
在LoginDisplay中檢查元件。該元件的位置已隨著時間而變更，因此請使用 GitHub 搜尋工具來找出該元件。 The templated content for Hosted equal to true is used.

Note

.NET 參考原始碼的文件連結通常會載入存放庫的預設分支，這代表著下一版 .NET 的當前開發。若要選取特定發行版本的標籤，請使用「切換分支或標籤」下拉式清單。如需詳細資訊，請參閱如何選取 ASP.NET Core 原始程式碼 (dotnet/AspNetCore.Docs #26205) 的版本標籤。

驗證元件

Authentication 元件 (Pages/Authentication.razor) 所產生的頁面會定義處理不同驗證階段所需的路由。

The RemoteAuthenticatorView component:

Is provided by the Microsoft.AspNetCore.Components.WebAssembly.Authentication package.
Manages performing the appropriate actions at each stage of authentication.

@page "/authentication/{action}"
@using Microsoft.AspNetCore.Components.WebAssembly.Authentication

<RemoteAuthenticatorView Action="@Action" />

@code {
    [Parameter]
    public string? Action { get; set; }
}

Note

Nullable reference types (NRTs) and .NET compiler null-state static analysis is supported in ASP.NET Core in .NET 6 or later. Prior to the release of ASP.NET Core in .NET 6, the string type appears without the null type designation (?).

Troubleshoot

Logging

若要啟用 Blazor WebAssembly 驗證的偵錯或追蹤記錄，請參閱 用戶端驗證記錄 一節，並將 ASP.NET Core Blazor 記錄的文章版本選擇器設定為 ASP.NET Core 7.0 或更新版本。

常見錯誤

應用程式或 Identity 提供者 (IP) 的設定錯誤

最常見的錯誤是由不正確的設定所造成。以下是一些範例：
- 視案例的需求而定，遺漏或不正確的授權單位、執行個體、租用戶識別碼、租用戶網域、用戶端識別碼或重新導向 URI 會防止應用程式驗證用戶端。
- 不正確的要求範圍會防止用戶端存取伺服器 Web API 端點。
- 不正確或遺漏伺服器 API 權限會防止用戶端存取伺服器 Web API 端點。
- 執行應用程式時使用的連接埠與 IP 應用程式註冊重定向 URI 中設定的連接埠不同。請注意，Microsoft Entra ID 和在 localhost 開發測試位址執行的應用程式不需要連接埠，但應用程式的連接埠設定和應用程式執行的連接埠必須與非 localhost 位址相符。
本文指導的設定區段顯示正確設定的範例。仔細檢查文章中的每一部分，找出應用程式和 IP 設定中的錯誤配置。

如果設定顯示正確：
- 分析應用程式記錄檔。
- 使用瀏覽器的開發人員工具，檢查用戶端應用程式與 IP 或伺服器應用程式之間的網路流量。通常，在提出要求之後，IP 或伺服器應用程式會傳回錯誤訊息或有導致問題的線索訊息給用戶端。下列文章中可找到開發人員工具指導：
  - Google Chrome (Google 文件)
  - Microsoft Edge
  - Mozilla Firefox (Mozilla 文件)
- 對於使用 JSON Web 權杖 (JWT) 的 Blazor 版本，根據問題發生的位置，對用於驗證用戶端或存取伺服器 Web API 的權杖內容進行解碼。如需詳細資訊，請參閱檢查 JSON Web 權杖 (JWT) 的內容。
文件小組會回應文章中的文件意見反饋和錯誤（從此頁面意見反饋區段開啟問題），但並無法提供產品支援。有數個公用支援論壇可用來協助針對應用程式進行疑難排解。我們建議下列事項：
上述論壇並非由 Microsoft 擁有或控制。

針對非安全性、非敏感性和非機密可重現架構 BUG 報告，向 ASP.NET Core 產品單位提出問題。在您徹底調查問題的原因而且無法自行解決，並取得公用支援論壇上社群的協助之前，請勿向產品單位提出問題。產品單位無法針對因簡單設定錯誤或涉及第三方服務的使用案例而中斷的個別應用程式進行疑難排解。如果報告具有敏感性或機密性質，或描述了攻擊者可能惡意探索的產品中潛在的安全性缺陷，請參閱報告安全性問題和 BUG (dotnet/aspnetcore GitHub 存放庫)。
Unauthorized client for ME-ID

info: Microsoft.AspNetCore.Authorization.DefaultAuthorizationService[2] 授權失敗。 These requirements were not met: DenyAnonymousAuthorizationRequirement: Requires an authenticated user.

Login callback error from ME-ID:
- 錯誤： unauthorized_client
- 描述：AADB2C90058: The provided application is not configured to allow public clients.
若要解決此錯誤：
1. 在 Azure 入口網站中，存取應用程式的資訊清單。
2. 將 allowPublicClient 屬性設定為 null 或 true。

Cookie 和網站資料

Cookie 和網站資料可以在應用程式更新之間保存，並可介入測試和疑難排解。進行應用程式程式碼變更、使用提供者的使用者帳戶變更，或提供者應用程式設定變更時，請清除下列內容：

使用者登入 cookie
應用程式 Cookie
Cached and stored site data

防止殘留的 cookie 和網站資料干擾測試和疑難排解的一種方法是：

設定瀏覽器
- 使用瀏覽器進行測試，您可以設定在每次關閉瀏覽器時刪除所有 cookie 和網站資料。
- 請確定瀏覽器已手動關閉或由 IDE 關閉，以便對應用程式、測試使用者或提供者設定進行任何變更。
使用自訂命令，在 Visual Studio 中以私人模式或無痕模式開啟瀏覽器：
- Open Browse With dialog box from Visual Studio's Run button.
- 選取新增按鈕。
- 在 [程式] 欄位中提供瀏覽器的路徑。下列可執行檔路徑是 Windows 10 的一般安裝位置。如果您的瀏覽器安裝在不同的位置，或您不是使用 Windows 10，請提供瀏覽器可執行檔的路徑。
  - Microsoft Edge：C:\Program Files (x86)\Microsoft\Edge\Application\msedge.exe
  - Google Chrome：C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
  - Mozilla Firefox：C:\Program Files\Mozilla Firefox\firefox.exe
- In the Arguments field, provide the command-line option that the browser uses to open in InPrivate or Incognito mode. 某些瀏覽器需要應用程式的 URL。
  - Microsoft Edge: Use -inprivate.
  - Google Chrome: Use --incognito --new-window {URL}, where the {URL} placeholder is the URL to open (for example, https://localhost:5001).
  - Mozilla Firefox: Use -private -url {URL}, where the {URL} placeholder is the URL to open (for example, https://localhost:5001).
- 在 [友好名稱] 欄位中提供名稱。例如： Firefox Auth Testing 。
- 選取確定按鈕。
- 若要避免針對使用應用程式測試的每個反覆項目選取瀏覽器設定檔，請使用 [設為預設值] 按鈕，將設定檔設定為預設值。
- 請確定瀏覽器已由 IDE 關閉，以便對應用程式、測試使用者或提供者設定進行任何變更。

應用程式升級

在升級開發電腦上的 .NET Core SDK 或變更應用程式內的套件版本之後，正常運作的應用程式便立即發生失敗。在某些情況下，執行主要升級時，不一致的套件可能會中斷應用程式。大多數這些問題都可依照下列指示來進行修正：

從命令提示字元執行 dotnet nuget locals all --clear，以清除本機系統的 NuGet 套件快取。
刪除專案的 bin 和 obj 資料夾。
還原並重建專案。
在重新部署應用程式之前，請先刪除伺服器上部署資料夾中的所有檔案。

Note

不支援使用與應用程式目標框架不相容的套件版本。 For information on a package, use the NuGet Gallery.

執行 `Server` 應用程式

測試裝載 Blazor WebAssembly方案並且進行疑難排解時，請確定您是從 Server 專案執行應用程式。

Inspect the user

下列 User 元件可以直接在應用程式中使用，或作為進一步自訂的基礎。

User.razor：

@page "/user"
@attribute [Authorize]
@using System.Text.Json
@using System.Security.Claims
@inject IAccessTokenProvider AuthorizationService

<h1>@AuthenticatedUser?.Identity?.Name</h1>

<h2>Claims</h2>

@foreach (var claim in AuthenticatedUser?.Claims ?? Array.Empty<Claim>())
{
    <p class="claim">@(claim.Type): @claim.Value</p>
}

<h2>Access token</h2>

<p id="access-token">@AccessToken?.Value</p>

<h2>Access token claims</h2>

@foreach (var claim in GetAccessTokenClaims())
{
    <p>@(claim.Key): @claim.Value.ToString()</p>
}

@if (AccessToken != null)
{
    <h2>Access token expires</h2>

    <p>Current time: <span id="current-time">@DateTimeOffset.Now</span></p>
    <p id="access-token-expires">@AccessToken.Expires</p>

    <h2>Access token granted scopes (as reported by the API)</h2>

    @foreach (var scope in AccessToken.GrantedScopes)
    {
        <p>Scope: @scope</p>
    }
}

@code {
    [CascadingParameter]
    private Task<AuthenticationState> AuthenticationState { get; set; }

    public ClaimsPrincipal AuthenticatedUser { get; set; }
    public AccessToken AccessToken { get; set; }

    protected override async Task OnInitializedAsync()
    {
        await base.OnInitializedAsync();
        var state = await AuthenticationState;
        var accessTokenResult = await AuthorizationService.RequestAccessToken();

        if (!accessTokenResult.TryGetToken(out var token))
        {
            throw new InvalidOperationException(
                "Failed to provision the access token.");
        }

        AccessToken = token;

        AuthenticatedUser = state.User;
    }

    protected IDictionary<string, object> GetAccessTokenClaims()
    {
        if (AccessToken == null)
        {
            return new Dictionary<string, object>();
        }

        // header.payload.signature
        var payload = AccessToken.Value.Split(".")[1];
        var base64Payload = payload.Replace('-', '+').Replace('_', '/')
            .PadRight(payload.Length + (4 - payload.Length % 4) % 4, '=');

        return JsonSerializer.Deserialize<IDictionary<string, object>>(
            Convert.FromBase64String(base64Payload));
    }
}

Inspect the content of a JSON Web Token (JWT)

若要解碼 JSON Web 權杖 (JWT)，請使用 Microsoft 的 jwt.ms 工具。 UI 中的值永遠不會離開瀏覽器。

Example encoded JWT (shortened for display):

eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsImtpZCI6Ilg1ZVhrNHh5b2pORnVtMWtsMll0djhkbE5QNC1j ... bQdHBHGcQQRbW7Wmo6SWYG4V_bU55Ug_PW4pLPr20tTS8Ct7_uwy9DWrzCMzpD-EiwT5IjXwlGX3IXVjHIlX50IVIydBoPQtadvT7saKo1G5Jmutgq41o-dmz6-yBMKV2_nXA25Q

Example JWT decoded by the tool for an app that authenticates against Azure AAD B2C:

{
  "typ": "JWT",
  "alg": "RS256",
  "kid": "X5eXk4xyojNFum1kl2Ytv8dlNP4-c57dO6QGTVBwaNk"
}.{
  "exp": 1610059429,
  "nbf": 1610055829,
  "ver": "1.0",
  "iss": "https://mysiteb2c.b2clogin.com/11112222-bbbb-3333-cccc-4444dddd5555/v2.0/",
  "sub": "aaaaaaaa-0000-1111-2222-bbbbbbbbbbbb",
  "aud": "00001111-aaaa-2222-bbbb-3333cccc4444",
  "nonce": "bbbb0000-cccc-1111-dddd-2222eeee3333",
  "iat": 1610055829,
  "auth_time": 1610055822,
  "idp": "idp.com",
  "tfp": "B2C_1_signupsignin"
}.[Signature]

共用方式為

使用 Microsoft 帳戶來保護 ASP.NET Core Blazor WebAssembly 獨立應用程式

Walkthrough

在 Azure 中建立租户

在 Azure 中註冊應用程式

建立 Blazor 應用程式

執行應用程式

應用程式的組件

驗證套件

驗證服務支援

wwwroot/appsettings.json 設定

存取令牌範圍

登入模式

匯入檔案

索引頁面

應用程式元件

RedirectToLogin component

LoginDisplay component

驗證元件

Troubleshoot

Logging

常見錯誤

Cookie 和網站資料

應用程式升級

執行 Server 應用程式

Inspect the user

Inspect the content of a JSON Web Token (JWT)

其他資源

其他資源

`wwwroot/appsettings.json` 設定

執行 `Server` 應用程式