ASP.NET Core Blazor 驗證與授權

如果必須確保授權規則的強制執行，請勿將授權檢查實作於用戶端程式碼中。 只會仰賴伺服器端轉譯 (SSR) 進行授權檢查，並強制執行規則，即可組建 Blazor Web App。

如果必須確保授權規則強制執行以及資料與程式碼的安全性，請勿開發用戶端應用程式。 建置 Blazor Server 應用程式。

ASP.NET Core Identity 的設計目的是要在 HTTP 要求和回應通訊的情境中運作，而這通常並不是 Blazor 應用程式的用戶端-伺服器通訊模型。 使用 ASP.NET Core Identity 來管理使用者的 ASP.NET Core 應用程式，應該使用 Razor Pages 而非 Razor 元件來取得 Identity 相關 UI，例如使用者註冊、登入、登出和其他使用者管理工作。 建置直接處理 Razor 工作的 Identity 元件在數個案例中是可行的，但 Microsoft 不建議這麽做亦不提供支援。

SignInManager<TUser> 元件不支援 ASP.NET Core 抽象概念，例如 UserManager<TUser> 和 Razor。 如需搭配使用 ASP.NET Core Identity 與 Blazor 的詳細資訊，請參閱 將 ASP.NET Core Identity 搭建到伺服器端 Blazor應用程式中。

Antiforgery 支援

Blazor 範本：

• 當在 AddRazorComponents 檔案中呼叫 Program 時，系統會自動新增防偽服務。
• 新增防偽中介軟體，方法是在 UseAntiforgery 檔案中的要求處理管線中呼叫 Program，並要求端點防偽保護，以減輕跨網站要求偽造 (CSRF/XSRF) 的威脅。 UseAntiforgery 在之後 UseHttpsRedirection呼叫 。 UseAntiforgery如果呼叫存在，UseAuthentication則必須在呼叫 和 UseAuthorization之後進行呼叫。

AntiforgeryToken 元件會將 Antiforgery 權杖轉譯為隱藏欄位，而此元件會自動新增至表單 (EditForm) 執行個體。 如需詳細資訊，請參閱 ASP.NET Core Blazor 表單概觀。

AntiforgeryStateProvider 服務會提供與目前工作階段相關聯之 Antiforgery 權杖的存取權。 插入服務並呼叫其 GetAntiforgeryToken() 方法來取得目前的 AntiforgeryRequestToken。 如需詳細資訊，請參閱 從 ASP.NET Core Blazor 應用程式呼叫 Web API。

Blazor 會將要求權杖儲存在元件狀態中，這可確保互動式元件可以使用 Antiforgery 權杖，即使它們沒有要求的存取權也一樣。

如需詳細資訊，請參閱以下資源：

• 防止在 ASP.NET Core 中出現跨網站偽造要求 (XSRF/CSRF) 攻擊：這篇文章正是本篇主要 ASP.NET Core 文章的主題，適用於伺服器端 Blazor Server、Blazor Web App 伺服器專案，以及將 Blazor 整合至 MVC/Razor 網頁。
• ASP.NET Core Blazor 表單概觀：關於 表單防偽支援文章的Blazor一節。

IHttpContextAccessor 必須避免使用互動式轉譯，因為沒有有效的 HttpContext 可用。

IHttpContextAccessor 可用於伺服器上靜態轉譯的元件。 不過，建議您盡可能避免。

只能在一般工作的HttpContext中將 用作 級聯參數，例如檢查和修改 App 元件 (Components/App.razor) 中的標頭或其他屬性。 用於互動式轉譯的值一律是 null。

[CascadingParameter]
public HttpContext? HttpContext { get; set; }

針對互動式元件中所需 HttpContext 的案例，建議您透過伺服器的持續元件狀態來流動資料。 如需詳細資訊，請參閱 ASP.NET Core 伺服器端和其他 Blazor Web App 安全性案例。

請勿在伺服器端 IHttpContextAccessor 應用程式的 / 元件中直接或間接使用 HttpContextRazorBlazor。 Blazor 應用程式會在 ASP.NET Core 管線內容之外執行。 既不保證 HttpContext 在 IHttpContextAccessor 中可用，也不保證 HttpContext 會保留啟動了 Blazor 應用程式的內容。

建議在 Blazor 應用程式的初始轉譯期間，透過根元件參數將要求狀態傳遞給此應用程式。 或者，應用程式可以將資料複製到根元件初始化生命週期事件中的範圍服務，以便在整個應用程式中使用。 如需詳細資訊，請參閱 ASP.NET Core 伺服器端和其他 Blazor Web App 安全性案例。

伺服器端 Blazor 安全性的一個重要層面是，附加至指定線路的使用者可能會在建立 Blazor 線路後的某個時間點進行更新，但 IHttpContextAccessor不會更新。 如需使用自定義服務解決這種情況的詳細資訊，請參閱 ASP.NET Core 伺服器端和其他 Blazor Web App 安全性案例。

Blazor Identity UI (個人帳戶)

當您選擇 [個別帳戶]Blazor 的驗證選項時，Blazor 支援產生完整 Identity 型 UI。

Blazor Web App 範本會為 SQL Server 資料庫產生 Identity 程式碼。 命令列版本會使用 SQLite，並包含 Identity 的 SQLite 資料庫。

範本：

• 有支援互動式伺服器端轉譯 (互動式 SSR)，還有經驗證使用者的用戶端轉譯 (CSR) 案例。
• 新增 IdentityRazor 例行驗證工作的元件和相關邏輯，例如：登入和登出的使用者。這些 Identity 元件也支援進階 Identity 功能，例如使用第三方應用程式進行帳戶確認和密碼復原，還有多重要素驗證 。 請注意 Identity 元件本身暫不支持互動功能。
• 新增 Identity 相關的套件和相依性。
• 參考 Identity 中的 _Imports.razor 套件。
• 建立自訂使用者 Identity 類別 (ApplicationUser)。
• 建立及註冊 EF Core 資料庫內容 (ApplicationDbContext)。
• 設定內建 Identity 端點的路由。
• 包含 Identity 驗證和商務邏輯。

若要檢查 Blazor 架構的 Identity 元件，請到Pages 和 Shared 資料夾中存取，存放在Account 這個資料夾中，資料就存放在 Blazor Web App 專案範本 (參考來源) 那邊。

當您選擇互動式 WebAssembly 或互動式自動轉譯模式時，伺服器會處理所有驗證和授權要求，而 Identity 元件會在 Blazor Web App 的主要專案中透過靜態方式，呈現在伺服器上。

架構會在伺服器和用戶端 (AuthenticationStateProvider) 專案中提供自訂 .Client，以將使用者的驗證狀態流向瀏覽器。 伺服器專案會呼叫 AddAuthenticationStateSerialization，而用戶端專案會呼叫 AddAuthenticationStateDeserialization。 在伺服器上進行驗證，而不是用戶端允許應用程式在預先轉譯期間，以及在初始化 NET WebAssembly 執行階段之前存取驗證狀態。 自訂 AuthenticationStateProvider 實作會使用保存元件狀態服務 (PersistentComponentState) 將驗證狀態序列化為 HTML 註解，然後從 WebAssembly 讀取它以建立新的 AuthenticationState 執行個體。 如需詳細資訊，請參閱在 Blazor Web App 中管理驗證狀態這個章節。

僅適用於互動式伺服器解決方案，IdentityRevalidatingAuthenticationStateProvider (參考來源) 是伺服器端 AuthenticationStateProvider，連線互動式線路時，每 30 分鐘會重新驗證已連線使用者的安全性戳記。

當您選擇互動式 WebAssembly 或互動式自動轉譯模式時，伺服器會處理所有驗證和授權要求，而 Identity 元件會在 Blazor Web App 的主要專案中透過靜態方式，呈現在伺服器上。 專案範本包含 PersistentAuthenticationStateProvider 專案中的 .Client，以同步處理伺服器與瀏覽器之間的使用者驗證狀態。 類別是 AuthenticationStateProvider 的自訂實作。 提供者會使用保存元件狀態服務 (PersistentComponentState)，預先轉譯驗證狀態，並將其保存至頁面。

在 Blazor Web App 的主要專案中，驗證狀態供應器名為 IdentityRevalidatingAuthenticationStateProvider（參考來源）（僅限伺服器互動功能解決方案）或 PersistingRevalidatingAuthenticationStateProvider （參考來源）（WebAssembly 或自動互動功能解決方案）。

Blazor Identity 取決於 DbContext 執行個體未由處理站建立，這是刻意的，因為 DbContext 足以讓專案範本的 Identity 元件以靜態方式轉譯，而不用支援互動功能。

如需在針對 Identity 元件強制執行靜態 SSR 的同時，全域互動轉譯模式如何套用至非 Identity 元件的描述，請參閱 ASP.NET Core Blazor 轉譯模式。

如需保存預先轉譯狀態的詳細資訊，請參閱預先轉譯 ASP.NET Core Razor 元件。

在  Blazor Web App 管理驗證狀態

本章節適用於 Blazor Web App會採用以下幾點：

• 個人帳戶
• 用戶端轉譯 (CSR，WebAssembly 型互動)。

用戶端驗證狀態供應器僅在 Blazor 內使用，不會與 ASP.NET Core 驗證系統整合。 在預先轉譯期間，Blazor 遵守頁面上定義的中繼資料，並且使用 ASP.NET Core 驗證系統來判斷使用者是否已驗證。 當使用者從一個頁面瀏覽到另一個頁面時，會使用用戶端驗證提供者。 當使用者重新整理頁面 (完整頁面重新載入) 時，用戶端驗證狀態供應器不會參與伺服器上的驗證決策。 由於伺服器不會保存使用者的狀態，因此維護用戶端的任何驗證狀態都會遺失。

若要解決此問題，最佳方法是在 ASP.NET Core 驗證系統中執行驗證。 用戶端驗證狀態供應器只會負責反映使用者的驗證狀態。 Blazor Web App 專案範本示範如何使用驗證狀態供應器來完成這項作業的範例，分述如下。

在伺服器專案的 Program 檔案中，呼叫 AddAuthenticationStateSerialization，其會使用AuthenticationState (AuthenticationStateProvider) 序列化伺服器端 傳回的 PersistentComponentState：

builder.Services.AddRazorComponents()
    .AddInteractiveWebAssemblyComponents()
    .AddAuthenticationStateSerialization();

這些 API 只會序列化伺服器端名稱和角色宣告，以在瀏覽器中存取。 若要包含所有宣告，請將 SerializeAllClaims 設定為在伺服器端呼叫 true 的 AddAuthenticationStateSerialization：

builder.Services.AddRazorComponents()
    .AddInteractiveWebAssemblyComponents()
    .AddAuthenticationStateSerialization(
        options => options.SerializeAllClaims = true);

在用戶端 (.Client) 專案的 Program 檔案中，呼叫 AddAuthenticationStateDeserialization，這會新增 AuthenticationStateProvider，其中會使用 AuthenticationState 和AuthenticationStateData () 從伺服器還原序列化 PersistentComponentState。 伺服器專案中應該有對 AddAuthenticationStateSerialization 的對應呼叫。

builder.Services.AddAuthorizationCore();
builder.Services.AddCascadingAuthenticationState();
builder.Services.AddAuthenticationStateDeserialization();

• PersistingRevalidatingAuthenticationStateProvider (參考來源) ：針對 Blazor Web App 採用互動式伺服器端轉譯 (互動式 SSR) 和用戶端轉譯 (CSR)。 這是伺服器端 AuthenticationStateProvider，連線互動性線路時，每 30 分鐘重新驗證已連線使用者的安全性戳記。 也會使用永續性元件狀態服務，將驗證狀態流向用戶端，接著針對 CSR 的存留期加以修正。

• PersistingServerAuthenticationStateProvider（參考來源）：會針對只有採用客戶服務代表 (CSR) 的 Blazor Web App。 這是伺服器端 AuthenticationStateProvider，使用永續性元件狀態服務，將驗證狀態流向用戶端，接著針對 CSR 的存留期加以修正。

• PersistentAuthenticationStateProvider（參考來源）：：會針對只有採用客戶服務代表 (CSR) 的 Blazor Web App。 這是用戶端 AuthenticationStateProvider，藉由尋找在伺服器上轉譯時保存在頁面中的資料，判斷使用者的驗證狀態。 此驗證狀態已針對 CSR 的存留期修正。 如果使用者需要登入或登出，則需要完整頁面重新載入。 這僅會提供使用者名稱和電子郵件以供顯示之用。 不包含在提出後續要求時向伺服器驗證的權杖，這會使用對伺服器提出的 cookie 要求中包含的 HttpClient 個別處理。

產生Identity

如需如何將 Identity 產生至伺服器端 Blazor 應用程式的詳細資訊，請參閱在 ASP.NET Core 專案中產生 Identity。

將 Identity 產生至伺服器端 Blazor 應用程式：

• 沒有現有的授權。
• 有授權。

在 Program 檔案中：

builder.Services.AddScoped<ExampleService>();

在 Startup.ConfigureServices 的 Startup.cs 中：

services.AddScoped<ExampleService>();

@page "/inject-auth-state-provider"
@inherits OwningComponentBase
@inject AuthenticationStateProvider AuthenticationStateProvider

<h1>Inject <code>AuthenticationStateProvider</code> Example</h1>

<p>@message</p>

@code {
    private string? message;
    private ExampleService? ExampleService { get; set; }

    protected override async Task OnInitializedAsync()
    {
        ExampleService = ScopedServices.GetRequiredService<ExampleService>();

        message = await ExampleService.ExampleMethod(AuthenticationStateProvider);
    }
}

@page "/inject-auth-state-provider"
@inject AuthenticationStateProvider AuthenticationStateProvider
@inherits OwningComponentBase

<h1>Inject <code>AuthenticationStateProvider</code> Example</h1>

<p>@message</p>

@code {
    private string? message;
    private ExampleService? ExampleService { get; set; }

    protected override async Task OnInitializedAsync()
    {
        ExampleService = ScopedServices.GetRequiredService<ExampleService>();

        message = await ExampleService.ExampleMethod(AuthenticationStateProvider);
    }
}

• 停用預先轉譯：指出轉譯模式，其中 prerender 參數在應用程式元件階層的最高階元件中設定為 false，最高階元件不是根元件。

  注意

  不支援讓根元件成為互動式，例如 App 元件。 因此，App 元件無法直接停用預先轉譯。

  針對以 Blazor Web App 專案範本為基礎的應用程式，通常會先停用預先轉譯，其中 Routes 元件的使用時機是應用到 App 元件 (Components/App.razor) 上：

  <Routes @rendermode="new InteractiveServerRenderMode(prerender: false)" />
  

  此外，停用元件的 HeadOutlet 預先轉譯：

  <HeadOutlet @rendermode="new InteractiveServerRenderMode(prerender: false)" />
  

  您也可以選擇性地控制套用至 Routes 元件執行個體的轉譯模式。 如需範例，請參閱 ASP.NET Core Blazor 轉譯模式。

• 停用預先轉譯：開啟 _Host.cshtml 檔案，並將render-mode的 屬性變更為 Server：

  <component type="typeof(App)" render-mode="Server" />
  

暫時重新導向 URL 有效期間

本章節適用於 Blazor Web App。

針對 RazorComponentsServiceOptions.TemporaryRedirectionUrlValidityDuration 伺服器端轉譯發出的暫時重新導向 URL，使用 Blazor 選項來取得或設定 ASP.NET Core 資料保護有效性的存留期。 這些只是暫時使用，因此存留期只要足夠讓用戶端接收 URL 並開始瀏覽至該 URL 即可。 不過，也應該足以允許跨伺服器時發生的時鐘誤差。 預設值為五分鐘。

在下列範例中，該值會延長至七分鐘：

builder.Services.AddRazorComponents(options => 
    options.TemporaryRedirectionUrlValidityDuration = 
        TimeSpan.FromMinutes(7));

AuthenticationStateProvider 是 AuthorizeView 元件和串聯驗證服務用來取得使用者驗證狀態的基礎服務。

AuthenticationStateProvider 是 AuthorizeView 元件與 CascadingAuthenticationState 元件用來取得使用者驗證狀態的基礎服務。

@page "/claims-principal-data"
@using System.Security.Claims
@inject AuthenticationStateProvider AuthenticationStateProvider

<h1>ClaimsPrincipal Data</h1>

<button @onclick="GetClaimsPrincipalData">Get ClaimsPrincipal Data</button>

<p>@authMessage</p>

@if (claims.Any())
{
    <ul>
        @foreach (var claim in claims)
        {
            <li>@claim.Type: @claim.Value</li>
        }
    </ul>
}

<p>@surname</p>

@code {
    private string? authMessage;
    private string? surname;
    private IEnumerable<Claim> claims = Enumerable.Empty<Claim>();

    private async Task GetClaimsPrincipalData()
    {
        var authState = await AuthenticationStateProvider
            .GetAuthenticationStateAsync();
        var user = authState.User;

        if (user.Identity is not null && user.Identity.IsAuthenticated)
        {
            authMessage = $"{user.Identity.Name} is authenticated.";
            claims = user.Claims;
            surname = user.FindFirst(c => c.Type == ClaimTypes.Surname)?.Value;
        }
        else
        {
            authMessage = "The user is NOT authenticated.";
        }
    }
}

在前述範例中:

• ClaimsPrincipal.Claims 會傳回使用者宣告 (claims) 以顯示在 UI 中。
• 取得使用者姓氏 (surname) 的行會使用述詞來呼叫 ClaimsPrincipal.FindAll，以篩選使用者的宣告。

@page "/claims-principal-data"
@using System.Security.Claims
@inject AuthenticationStateProvider AuthenticationStateProvider

<h1>ClaimsPrincipal Data</h1>

<button @onclick="GetClaimsPrincipalData">Get ClaimsPrincipal Data</button>

<p>@authMessage</p>

@if (claims.Any())
{
    <ul>
        @foreach (var claim in claims)
        {
            <li>@claim.Type: @claim.Value</li>
        }
    </ul>
}

<p>@surname</p>

@code {
    private string? authMessage;
    private string? surname;
    private IEnumerable<Claim> claims = Enumerable.Empty<Claim>();

    private async Task GetClaimsPrincipalData()
    {
        var authState = await AuthenticationStateProvider
            .GetAuthenticationStateAsync();
        var user = authState.User;

        if (user.Identity is not null && user.Identity.IsAuthenticated)
        {
            authMessage = $"{user.Identity.Name} is authenticated.";
            claims = user.Claims;
            surname = user.FindFirst(c => c.Type == ClaimTypes.Surname)?.Value;
        }
        else
        {
            authMessage = "The user is NOT authenticated.";
        }
    }
}

@page "/cascade-auth-state"

<h1>Cascade Auth State</h1>

<p>@authMessage</p>

@code {
    private string authMessage = "The user is NOT authenticated.";

    [CascadingParameter]
    private Task<AuthenticationState>? authenticationState { get; set; }

    protected override async Task OnInitializedAsync()
    {
        if (authenticationState is not null)
        {
            var authState = await authenticationState;
            var user = authState?.User;

            if (user?.Identity is not null && user.Identity.IsAuthenticated)
            {
                authMessage = $"{user.Identity.Name} is authenticated.";
            }
        }
    }
}

@page "/cascade-auth-state"

<h1>Cascade Auth State</h1>

<p>@authMessage</p>

@code {
    private string authMessage = "The user is NOT authenticated.";

    [CascadingParameter]
    private Task<AuthenticationState>? authenticationState { get; set; }

    protected override async Task OnInitializedAsync()
    {
        if (authenticationState is not null)
        {
            var authState = await authenticationState;
            var user = authState?.User;

            if (user?.Identity is not null && user.Identity.IsAuthenticated)
            {
                authMessage = $"{user.Identity.Name} is authenticated.";
            }
        }
    }
}

使用 Task< 和串聯驗證狀態服務設定 AuthenticationState>AuthorizeRouteView。

當您從其中一個已啟用驗證的 Blazor 專案範本建立 Blazor 應用程式時，此應用程式會包含上述範例中顯示的 AuthorizeRouteView 以及對 AddCascadingAuthenticationState 的呼叫。 用戶端端 Blazor 應用程式也包含必要的服務註冊。 使用 Router 元件來自訂未經授權內容章節中會顯示其他資訊。

<Router ...>
    <Found ...>
        <AuthorizeRouteView RouteData="routeData" 
            DefaultLayout="typeof(Layout.MainLayout)" />
        ...
    </Found>
</Router>

在 Program 檔案中，註冊串聯驗證狀態服務：

builder.Services.AddCascadingAuthenticationState();

使用 Task< 和 AuthenticationState 元件設定 >AuthorizeRouteViewCascadingAuthenticationState。

當您從其中一個已啟用驗證的 Blazor 專案範本建立 Blazor 應用程式時，此應用程式會包含上述範例中顯示的 AuthorizeRouteView 和 CascadingAuthenticationState 元件。 用戶端端 Blazor 應用程式也包含必要的服務註冊。 使用 Router 元件來自訂未經授權內容章節中會顯示其他資訊。

<CascadingAuthenticationState>
    <Router ...>
        <Found ...>
            <AuthorizeRouteView RouteData="routeData" 
                DefaultLayout="typeof(MainLayout)" />
            ...
        </Found>
    </Router>
</CascadingAuthenticationState>

在用戶端 Blazor 應用程式中，將授權服務新增至 Program 檔案：

builder.Services.AddAuthorizationCore();

在用戶端 Blazor 應用程式中，將選項和授權服務新增至 Program 檔案：

builder.Services.AddOptions();
builder.Services.AddAuthorizationCore();

Razor 當靜態伺服器端轉譯 (靜態 SSR) 期間授權失敗時，Blazor Web App 的元件一律不會顯示 <NotAuthorized> 內容。 伺服器端 ASP.NET Core 管線會處理伺服器上的授權。 使用伺服器端技術來處理未經授權的要求。 如需詳細資訊，請參閱 ASP.NET Core Blazor 轉譯模式。

資源授權

若要授權使用者使用資源，請將要求的路由資料傳遞至 Resource 的 AuthorizeRouteView 參數。

在要求路由的 Router.Found 內容中:

<AuthorizeRouteView Resource="routeData" RouteData="routeData" 
    DefaultLayout="typeof(MainLayout)" />

如需如何在程序邏輯中傳遞及使用授權狀態資料的詳細資訊，請參閱將驗證狀態公開為串聯參數一節。

當 AuthorizeRouteView 收到資源的路由資料時，授權原則可以存取 RouteData.PageType 和 RouteData.RouteValues 以讓自訂邏輯決定是否授權。

下列範例會使用下列邏輯，在 EditUser 中為應用程式的授權服務設定 (AuthorizationOptions) 建立 AddAuthorizationCore 原則：

• 判斷是否有索引鍵為 id 的路由值存在。 如果該索引鍵存在，路由值便會儲存到 value 中。
• 在名為 id 的變數中，將 value 儲存為字串，或設定空字串值 (string.Empty)。
• 如果 id 不是空字串，且字串值的開頭為 true，則判定滿足原則 (傳回 EMP)。 否則，判定原則失敗 (傳回 false)。

在 Program 檔案中：

• 為 Microsoft.AspNetCore.Components 和 System.Linq 新增命名空間：

  using Microsoft.AspNetCore.Components;
  using System.Linq;
  

• 新增原則：

  options.AddPolicy("EditUser", policy =>
      policy.RequireAssertion(context =>
      {
          if (context.Resource is RouteData rd)
          {
              var routeValue = rd.RouteValues.TryGetValue("id", out var value);
              var id = Convert.ToString(value, 
                  System.Globalization.CultureInfo.InvariantCulture) ?? string.Empty;
  
              if (!string.IsNullOrEmpty(id))
              {
                  return id.StartsWith("EMP", StringComparison.InvariantCulture);
              }
          }
  
          return false;
      })
  );
  

上述範例是過度簡化的授權原則，這麼做只是為了透過運作範例來示範概念。 如需如何建立和設定授權原則的詳細資訊，請參閱 ASP.NET Core 中的原則型授權。

在下列 EditUser 元件中，位於 /users/{id}/edit 的資源具有使用者識別碼 ({id}) 的路由參數。 元件會使用上述 EditUser 授權原則來判斷 id 的路由值是否以 EMP 開頭。 如果 id 以 EMP 開頭，則原則會成功，且會獲得授權而能夠存取元件。 如果 id 以 EMP 以外的值開頭，或如果 id 是空字串，則原則會失敗，且元件不會載入。

EditUser.razor：

@page "/users/{id}/edit"
@using Microsoft.AspNetCore.Authorization
@attribute [Authorize(Policy = "EditUser")]

<h1>Edit User</h1>

<p>The "EditUser" policy is satisfied! <code>Id</code> starts with 'EMP'.</p>

@code {
    [Parameter]
    public string? Id { get; set; }
}

@page "/users/{id}/edit"
@using Microsoft.AspNetCore.Authorization
@attribute [Authorize(Policy = "EditUser")]

<h1>Edit User</h1>

<p>The "EditUser" policy is satisfied! <code>Id</code> starts with 'EMP'.</p>

@code {
    [Parameter]
    public string? Id { get; set; }
}

<Router ...>
    <Found ...>
        <AuthorizeRouteView ...>
            <NotAuthorized>
                ...
            </NotAuthorized>
            <Authorizing>
                ...
            </Authorizing>
        </AuthorizeRouteView>
    </Found>
</Router>

Authorized 和 NotAuthorized 的內容可以包含任意項目，例如其他互動式元件。

builder.Services.AddCascadingAuthenticationState();

<CascadingAuthenticationState>
    <Router ...>
        <Found ...>
            <AuthorizeRouteView ...>
                <NotAuthorized>
                    ...
                </NotAuthorized>
                <Authorizing>
                    ...
                </Authorizing>
            </AuthorizeRouteView>
        </Found>
    </Router>
</CascadingAuthenticationState>

NotFound、Authorized 及 NotAuthorized 的內容可以包含任意項目，例如其他互動式元件。

@page "/procedural-logic"
@inject IAuthorizationService AuthorizationService

<h1>Procedural Logic Example</h1>

<button @onclick="@DoSomething">Do something important</button>

@code {
    [CascadingParameter]
    private Task<AuthenticationState>? authenticationState { get; set; }

    private async Task DoSomething()
    {
        if (authenticationState is not null)
        {
            var authState = await authenticationState;
            var user = authState?.User;

            if (user is not null)
            {
                if (user.Identity is not null && user.Identity.IsAuthenticated)
                {
                    // ...
                }

                if (user.IsInRole("Admin"))
                {
                    // ...
                }

                if ((await AuthorizationService.AuthorizeAsync(user, "content-editor"))
                    .Succeeded)
                {
                    // ...
                }
            }
        }
    }
}

@page "/procedural-logic"
@inject IAuthorizationService AuthorizationService

<h1>Procedural Logic Example</h1>

<button @onclick="@DoSomething">Do something important</button>

@code {
    [CascadingParameter]
    private Task<AuthenticationState>? authenticationState { get; set; }

    private async Task DoSomething()
    {
        if (authenticationState is not null)
        {
            var authState = await authenticationState;
            var user = authState?.User;

            if (user is not null)
            {
                if (user.Identity is not null && user.Identity.IsAuthenticated)
                {
                    // ...
                }

                if (user.IsInRole("Admin"))
                {
                    // ...
                }

                if ((await AuthorizationService.AuthorizeAsync(user, "content-editor"))
                    .Succeeded)
                {
                    // ...
                }
            }
        }
    }
}

• 伺服器端和資源Blazor Web App
  • 快速入門：透過 Microsoft 將登入新增至 ASP.NET Core Web 應用程式
  • 快速入門：使用 Microsoft identity 平台來保護 ASP.NET Core Web API
  • 設定 ASP.NET Core 以與 Proxy 伺服器和負載平衡器搭配運作：包含下列指引：
    • 使用轉送的標頭中介軟體來跨 Proxy 伺服器和內部網路保留 HTTPS 配置資訊。
    • 其他案例和使用案例，包括手動配置設定、正確要求路由的要求路徑變更，以及轉送 Linux 和非 IIS 反向 Proxy 的要求配置。
• Microsoft identity 平台文件
  • 概觀
  • Microsoft identity 平台上的 OAuth 2.0 和 OpenID Connect 通訊協定
  • Microsoft identity 平台和 OAuth 2.0 授權碼流程
  • Microsoft identity 平台識別碼權仗
  • Microsoft identity 平台存取權杖
• ASP.NET Core 安全性主題
• 在 ASP.NET Core 中設定 Windows 驗證
• 建置 Authentication.MSAL JavaScript 程式庫的自訂版本
• 有趣的 Blazor：驗證 社群範例連結
• ASP.NET Core Blazor Hybrid 驗證與授權

• 伺服器端 Blazor 資源
  • 快速入門：透過 Microsoft 將登入新增至 ASP.NET Core Web 應用程式
  • 快速入門：使用 Microsoft identity 平台來保護 ASP.NET Core Web API
  • 設定 ASP.NET Core 以與 Proxy 伺服器和負載平衡器搭配運作：包含下列指引：
    • 使用轉送的標頭中介軟體來跨 Proxy 伺服器和內部網路保留 HTTPS 配置資訊。
    • 其他案例和使用案例，包括手動配置設定、正確要求路由的要求路徑變更，以及轉送 Linux 和非 IIS 反向 Proxy 的要求配置。
• Microsoft identity 平台文件
  • 概觀
  • Microsoft identity 平台上的 OAuth 2.0 和 OpenID Connect 通訊協定
  • Microsoft identity 平台和 OAuth 2.0 授權碼流程
  • Microsoft identity 平台識別碼權仗
  • Microsoft identity 平台存取權杖
• ASP.NET Core 安全性主題
• 在 ASP.NET Core 中設定 Windows 驗證
• 建置 Authentication.MSAL JavaScript 程式庫的自訂版本
• 有趣的 Blazor：驗證 社群範例連結