Blazor WASM - User.Identity?.IsAuthenticated == true 但在没有用户干预的情况下无法获取访问令牌

Question

我有一个 do.net 7 Blazor WASM 应用程序，使用 Azure AD B2C（通过Program.cs中的AddMsalAuthentication ）。

该应用程序的主页允许匿名访问，并且在用户未通过身份验证时具有登录号召性用语。

在主页使用的布局中，我有一个通过 API 调用填充的下拉列表。 如果User.Identity?.IsAuthenticated == true ，这将尝试进行 API 调用。 API 调用使用 HTTP 客户端，该客户端使用BaseAddressAuthorizationMessageHandler （它又继承了AuthorizationMessageHandler ），负责在进行调用之前静默获取访问令牌。

如果获取访问令牌失败，则会抛出AccessTokenNotAvailableException ，我会在异常上调用Redirect() ，这会重定向到 B2C 登录屏幕。 这不是我想要的行为，因为用户在没有响应号召性用语登录的情况下被重定向。

深入研究库代码，这似乎是 Blazor WASM 创建ClaimsIdentity的地方。 它调用 MSAL.js 中的一个 JS 方法AuthenticationService.getUser ：

如果我在浏览器中调用AuthenticationService.getUser方法，我可以看到返回了 object：

我注意到用户的exp声明是几天前的 - 在我看来这已经过期了。

我还注意到ClaimsIdentity.IsAuthenticated在AuthenticationType为非空时返回true 。 在我的例子中， AuthenticationType是一个与我的 B2C 应用程序的ClientId匹配的 Guid 。

所以我的问题是：除了User.Identity?.IsAuthenticated == true之外，我应该调用什么来确定用户是否经过身份验证，并且可以在用户无需重新进行身份验证的情况下提供访问令牌？ 我应该使用 Blazor 自定义策略吗？

Answer 1

经过更多调查，我的结论是这种行为是设计使然。

开箱即用的默认策略只是添加RequireAuthenticatedUser ：

这不一定会达到您的预期 - 它会添加DenyAnonymousAuthorizationRequirement ：

这反过来只是检查身份是否已通过身份验证（正如我之前提到的，它只是检查非空身份验证类型）：

我的解决方案是在services.AddAuthorizationCore中使用自定义策略来检查exp声明：

new AuthorizationPolicyBuilder()
                .RequireAuthenticatedUser()
                .RequireClaim("email")
                .AddAuthenticationSchemes("bearer")
                .RequireAssertion(ctx =>
                {
                    var exp = ctx.User.Claims.SingleOrDefault(c => c.Type.Equals("exp" , StringComparison.OrdinalIgnoreCase));

                    if (exp is null)
                        return false;

                    var datetime = DateTimeOffset.FromUnixTimeSeconds(long.Parse(exp.Value));
                    return datetime.UtcDateTime > Clock.Instance.UtcNow;
                });