近日，多位 ASP.NET Core Blazor 开发者在技术社区反映，在使用 [Authorize] 属性进行页面或组件授权时，出现了一个令人困扰的时序问题：授权属性在 AuthenticationStateProvider 尚未成功读取 Cookie 之前，便直接触发了 401 未授权响应，导致用户即使携带了有效的认证 Cookie 也无法正常访问受保护资源，被迫反复重定向至登录页面。这一现象在基于服务器端预渲染（Prerendering）和交互式渲染模式混合的 Blazor 应用中尤为突出。

问题核心：授权判定早于 Cookie 读取

在 Blazor Web App 项目中（.NET 8+），开发者通常通过 [Authorize] 属性标记需要认证的页面或组件，同时依赖自定义的 AuthenticationStateProvider 从 Cookie 中解析用户身份。理想流程应为：请求进入 → 中间件触发 AuthenticationStateProvider.GetAuthenticationStateAsync() → 异步读取 Cookie 并构造 ClaimsPrincipal → 授权中间件根据身份状态决定放行或返回 401。

然而在实际场景下，[Authorize] 属性（本质是一个授权过滤器或授权策略处理器）的触发时机早于 AuthenticationStateProvider 的异步初始化完成。具体来说，当 Blazor 服务端预渲染时，HTTP 请求管线尚未完全建立，Cookie 可能还未被解析到请求上下文，而授权中间件已根据默认的匿名身份直接返回 401 状态码。由于此时 AuthenticationStateProvider 尚未完成 Cookie 读取，身份验证状态被错误地标记为“未认证”，导致后续即使 Cookie 被成功解析，也因已经触发了 401 而无法挽回。

典型触发场景：混合渲染模式

该问题在以下场景中频繁出现：

  1. 页面使用 [Authorize] + 预渲染：Blazor Server 模式或 Blazor WebAssembly 启用预渲染时，服务端首次渲染会执行授权检查，而此时 AuthenticationStateProvider 可能尚未从 HttpContext 中提取 Cookie。
  2. 自定义 AuthenticationStateProvider 依赖异步 Cookie 解析：若开发者在 GetAuthenticationStateAsync() 中执行了 HttpContextAccessor.HttpContext.Request.Cookies["AuthCookie"] 等操作，而该操作依赖请求管道中的特定中间件（如 UseAuthentication()），则可能因中间件顺序问题导致 Cookie 集合为空。
  3. 多认证方案混合：同时使用 Cookie 和 JWT Bearer 时，授权策略可能错误匹配到非预期方案，导致提前拒绝。

社区影响：开发效率与用户体验双双受挫

据反馈，受此问题影响的开发者多为企业级 Blazor 应用开发者，特别是那些从旧版 Blazor Server 或 ASP.NET Core MVC 迁移至 .NET 8 Blazor Web App 的项目团队。一位来自金融科技公司的开发者表示：“我们的用户登录后，页面有时能正常显示，有时却突然跳转到 401 页面，刷新几次又好了。排查了两天才发现是授权和 Cookie 读取的竞态条件。”

更棘手的是，该问题具有间歇性，尤其在负载较高或网络延迟时更容易复现，导致开发者很难在本地开发环境稳定重现。一些团队不得不采用变通方案：在每一个受保护页面的 OnInitializedAsync 中手动检查认证状态，或者完全禁用预渲染——但这又牺牲了 SEO 和首屏加载性能。

官方社区的回应与临时解决方案

在 GitHub 的 dotnet/aspnetcore 仓库中，已有多个相关 Issue（如 #47203、#48617）被提交。微软 ASP.NET Core 团队表示已确认该问题，并计划在未来的 .NET 9 预览版或 .NET 8 后续服务更新中修复。截至目前，官方给出的临时建议包括：

  • 确保中间件注册顺序正确：app.UseAuthentication() 必须早于 app.UseAuthorization()，且在 UseRouting() 之后。对于 Blazor，应确保 MapBlazorHub 或 MapRazorComponents 位于授权中间件之后。
  • 使用 [ExcludeFromAuthorization] 结合手动授权：对有问题的页面暂时移除 [Authorize]，改为在组件 OnInitializedAsync 中通过 AuthenticationStateProvider 主动检查状态，并重定向到登录页。
  • 关闭预渲染：对于严格依赖 Cookie 认证的页面，可采用 render-mode="Server" 或 render-mode="WebAssembly" 来避免服务端授权提前触发。
  • 延迟授权判断：自定义授权策略中注入 AuthenticationStateProvider，并在 HandleRequirementAsync 内显式等待其完成，但需注意避免死锁。

未来展望：更稳健的授权时序

这一事件再次提醒开发者，Blazor 的混合渲染模型虽然强大，但授权流程的异步性与请求管道的先后关系仍存在细微陷阱。随着 .NET 9 对 Blazor 授权机制的改进——包括计划引入“授权感知预渲染”和更智能的 AuthenticationStateProvider 初始化顺序——该问题有望得到根本解决。在此之前，建议所有使用 [Authorize] 属性的 Blazor 项目进行全面的时序测试，尤其在高并发和 Cookie 依赖场景下。