Autentikasi dan otorisasi ASP.NET Core Blazor

Jika penegakan aturan otorisasi harus dijamin, jangan terapkan pemeriksaan otorisasi dalam kode sisi klien. Blazor Web App Bangun yang hanya bergantung pada penyajian sisi server (SSR) untuk pemeriksaan otorisasi dan penegakan aturan.

Jika penegakan aturan otorisasi dan keamanan data dan kode harus dijamin, jangan kembangkan aplikasi sisi klien. Buat Blazor Server aplikasi.

ASP.NET Core Identity dirancang untuk bekerja dalam konteks permintaan HTTP dan komunikasi respons, yang umumnya bukan Blazor model komunikasi klien-server aplikasi. Aplikasi ASP.NET Core yang menggunakan ASP.NET Core Identity untuk manajemen pengguna harus menggunakan Halaman Razor, bukan komponen Razor untuk UI terkait Identity, seperti pendaftaran pengguna, masuk, keluar, dan tugas manajemen pengguna lainnya. Komponen bangunan Razor yang menangani Identity tugas secara langsung dimungkinkan untuk beberapa skenario tetapi tidak direkomendasikan atau didukung oleh Microsoft.

Abstraksi ASP.NET Core, seperti SignInManager<TUser> dan UserManager<TUser>, tidak didukung dalam komponen Razor. Untuk informasi selengkapnya tentang menggunakan ASP.NET Core Identity dengan , lihat Blazor sisi Identity server.Blazor

Dukungan antiforgery

Templat Blazor :

• Menambahkan layanan antiforgery secara otomatis ketika AddRazorComponents dipanggil dalam Program file.
• Menambahkan Middleware Antiforgery dengan memanggil UseAntiforgery dalam alur pemrosesan permintaannya dalam Program file dan memerlukan perlindungan antiforgery titik akhir untuk mengurangi ancaman Pemalsuan Permintaan Lintas Situs (CSRF/XSRF). UseAntiforgery dipanggil setelah UseHttpsRedirection. Panggilan ke UseAntiforgery harus dilakukan setelah panggilan, jika ada, ke UseAuthentication dan UseAuthorization.

Komponen AntiforgeryToken merender token antiforgery sebagai bidang tersembunyi, dan komponen ini secara otomatis ditambahkan ke instans formulir (EditForm). Untuk informasi selengkapnya, lihat Blazor formulir ASP.NET Core.

Layanan ini AntiforgeryStateProvider menyediakan akses ke token antiforgery yang terkait dengan sesi saat ini. Masukkan layanan dan panggil metodenya GetAntiforgeryToken() untuk mendapatkan .AntiforgeryRequestToken Untuk informasi selengkapnya, lihat Blazor ASP.NET Core.

Blazor menyimpan token permintaan dalam status komponen, yang menjamin bahwa token antiforgery tersedia untuk komponen interaktif, bahkan ketika mereka tidak memiliki akses ke permintaan.

Untuk informasi selengkapnya, lihat sumber daya berikut:

• Cegah serangan Pemalsuan Permintaan Lintas Situs (XSRF/CSRF) di ASP.NET Core: Artikel ini adalah artikel utama ASP.NET Core tentang subjek, yang berlaku untuk sisi Blazor Serverserver, proyek Blazor Web Appserver, dan Blazor integrasi dengan MVC/Razor Pages.
• Blazor

Blazor Identity UI (Akun Individu)

Blazormendukung pembuatan UI berbasis Blazor penuh Identitysaat Anda memilih opsi autentikasi untuk Akun Individual.

Perancah Blazor Web AppIdentity templat kode untuk database SQL Server. Versi baris perintah menggunakan SQLite dan menyertakan database SQLite untuk Identity.

Templat:

• Mendukung skenario penyajian sisi server interaktif (SSR interaktif) dan penyajian sisi klien (CSR) dengan pengguna yang diautentikasi.
• Identity Razor Menambahkan komponen dan logika terkait untuk tugas autentikasi rutin, seperti memasukkan dan mengeluarkan pengguna. Komponen juga Identity mendukung fitur lanjutanIdentity, seperti konfirmasi akun dan pemulihan kata sandi dan autentikasi multifaktor menggunakan aplikasi pihak ketiga. Perhatikan bahwa komponen itu Identity sendiri tidak mendukung interaktivitas.
• IdentityMenambahkan paket dan dependensi terkait.
• Mereferensikan Identity paket di _Imports.razor.
• Membuat kelas pengguna Identity kustom (ApplicationUser).
• Membuat dan mendaftarkan EF Core konteks database (ApplicationDbContext).
• Mengonfigurasi perutean untuk titik akhir bawaan Identity .
• Termasuk Identity validasi dan logika bisnis.

Untuk memeriksa Blazor komponen kerangka kerjaIdentity, akses di Pages folder Shared dan Account folder dalam Blazor Web App templat proyek (sumber referensi).

Saat Anda memilih mode render Interactive WebAssembly atau Interactive Auto, server menangani semua permintaan autentikasi dan otorisasi, dan Identity komponen dirender secara statis di server di Blazor Web Appproyek utama.

Kerangka kerja menyediakan kustom AuthenticationStateProvider dalam proyek server dan klien (.Client) untuk mengalirkan status autentikasi pengguna ke browser. Proyek server memanggil AddAuthenticationStateSerialization, sementara proyek klien memanggil AddAuthenticationStateDeserialization. Mengautentikasi di server daripada klien memungkinkan aplikasi mengakses status autentikasi selama pra-penyajian dan sebelum runtime .NET WebAssembly diinisialisasi. Implementasi kustom menggunakan layanan Status Komponen Persisten (AuthenticationStateProvider) untuk menserialisasikan status autentikasi ke dalam komentar HTML lalu membacanya kembali dari WebAssembly untuk membuat instans baru.PersistentComponentStateAuthenticationState Untuk informasi selengkapnya, lihat bagian Mengelola status autentikasi di Blazor Web Apps .

Hanya untuk solusi Interactive Server, IdentityRevalidatingAuthenticationStateProvider (sumber referensi) adalah sisi AuthenticationStateProvider server yang menvalidasi ulang stempel keamanan untuk pengguna yang terhubung setiap 30 menit sirkuit interaktif tersambung.

Saat Anda memilih mode render Interactive WebAssembly atau Interactive Auto, server menangani semua permintaan autentikasi dan otorisasi, dan Identity komponen dirender secara statis di server di Blazor Web Appproyek utama. Templat proyek menyertakan PersistentAuthenticationStateProvider kelas (sumber referensi) dalam .Client proyek untuk menyinkronkan status autentikasi pengguna antara server dan browser. Kelas adalah implementasi kustom dari AuthenticationStateProvider. Penyedia menggunakan layanan Status Komponen Persisten (PersistentComponentState) untuk merender status autentikasi dan mempertahankannya ke halaman.

Dalam proyek Blazor Web Apputama , penyedia status autentikasi diberi nama ( IdentityRevalidatingAuthenticationStateProvider sumber referensi) (Hanya solusi interaktivitas server) atau PersistingRevalidatingAuthenticationStateProvider (sumber referensi) (Solusi interaktivitas WebAssembly atau Otomatis).

Blazor Identity tergantung pada DbContext instans yang tidak dibuat oleh pabrik, yang disengaja karena DbContext cukup bagi komponen templat Identity proyek untuk dirender secara statis tanpa mendukung interaktivitas.

Untuk deskripsi tentang bagaimana mode render interaktif global diterapkan ke non-komponenIdentity sementara pada saat yang sama memberlakukan SSR statis untuk Identity komponen, lihat Blazor render ASP.NET Core.

Untuk informasi selengkapnya tentang mempertahankan status yang telah dirender sebelumnya, lihat Razor ASP.NET Core.

Mengelola status autentikasi dalam Blazor Web Apps

Bagian ini berlaku untuk Blazor Web Apps yang mengadopsi:

• Akun Individual
• Penyajian sisi klien (CSR, interaktivitas berbasis WebAssembly).

Penyedia status autentikasi sisi klien hanya digunakan dalam Blazor dan tidak terintegrasi dengan sistem autentikasi ASP.NET Core. Selama pra-penyajian, Blazor menghormati metadata yang ditentukan pada halaman dan menggunakan sistem autentikasi ASP.NET Core untuk menentukan apakah pengguna diautentikasi. Saat pengguna menavigasi dari satu halaman ke halaman lain, penyedia autentikasi sisi klien digunakan. Saat pengguna me-refresh halaman (pemuatan ulang halaman penuh), penyedia status autentikasi sisi klien tidak terlibat dalam keputusan autentikasi di server. Karena status pengguna tidak dipertahankan oleh server, status autentikasi apa pun yang dipertahankan sisi klien hilang.

Untuk mengatasi hal ini, pendekatan terbaik adalah melakukan autentikasi dalam sistem autentikasi ASP.NET Core. Penyedia status autentikasi sisi klien hanya mengurus mencerminkan status autentikasi pengguna. Contoh cara menyelesaikan ini dengan penyedia status autentikasi ditunjukkan oleh Blazor Web App templat proyek dan dijelaskan di bawah ini.

Dalam file proyek Program server, panggil AddAuthenticationStateSerialization, yang menserialisasikan AuthenticationState yang dikembalikan oleh sisi AuthenticationStateProvider server menggunakan layanan Status Komponen Persisten (PersistentComponentState):

builder.Services.AddRazorComponents()
    .AddInteractiveWebAssemblyComponents()
    .AddAuthenticationStateSerialization();

API hanya menserialisasikan nama sisi server dan klaim peran untuk akses di browser. Untuk menyertakan semua klaim, atur SerializeAllClaims ke true dalam panggilan sisi server ke AddAuthenticationStateSerialization:

builder.Services.AddRazorComponents()
    .AddInteractiveWebAssemblyComponents()
    .AddAuthenticationStateSerialization(
        options => options.SerializeAllClaims = true);

Dalam file proyek klien (.Client), panggil Program, yang menambahkan AddAuthenticationStateDeserialization tempat AuthenticationStateProvider dideserialisasi dari server menggunakan AuthenticationState dan AuthenticationStateData Status Komponen Persisten ().PersistentComponentState Harus ada panggilan yang sesuai ke AddAuthenticationStateSerialization dalam proyek server.

builder.Services.AddAuthorizationCore();
builder.Services.AddCascadingAuthenticationState();
builder.Services.AddAuthenticationStateDeserialization();

• PersistingRevalidatingAuthenticationStateProvider (sumber referensi): Untuk Blazor Web Appmengadopsi penyajian sisi server interaktif (SSR interaktif) dan penyajian sisi klien (CSR). Ini adalah sisi AuthenticationStateProvider server yang memvalidasi ulang stempel keamanan untuk pengguna yang terhubung setiap 30 menit sirkuit interaktif tersambung. Ini juga menggunakan layanan Status Komponen Persisten untuk mengalirkan status autentikasi ke klien, yang kemudian diperbaiki selama masa pakai CSR.

• PersistingServerAuthenticationStateProvider (sumber referensi): Untuk Blazor Web Appitu hanya mengadopsi CSR. Ini adalah sisi AuthenticationStateProvider server yang menggunakan layanan Status Komponen Persisten untuk mengalirkan status autentikasi ke klien, yang kemudian diperbaiki selama masa pakai CSR.

• PersistentAuthenticationStateProvider (sumber referensi): Untuk Blazor Web Appmengadopsi CSR. Ini adalah sisi AuthenticationStateProvider klien yang menentukan status autentikasi pengguna dengan mencari data yang bertahan di halaman ketika dirender di server. Status autentikasi ini diperbaiki untuk masa pakai CSR. Jika pengguna perlu masuk atau keluar, diperlukan pemuatan ulang halaman penuh. Ini hanya menyediakan nama pengguna dan email untuk tujuan tampilan. Ini tidak termasuk token yang mengautentikasi ke server saat membuat permintaan berikutnya, yang ditangani secara terpisah menggunakan cookie yang disertakan pada HttpClient permintaan ke server.

Merancah Identity

Untuk informasi selengkapnya tentang perancah Identity ke aplikasi sisi Blazor server, lihat Perancah Identity dalam proyek ASP.NET Core.

Perancah Identity ke dalam aplikasi sisi Blazor server:

• Tanpa otorisasi yang ada.
• Dengan otorisasi.

Dalam file Program:

builder.Services.AddScoped<ExampleService>();

Dalam Startup.ConfigureServices dari Startup.cs:

services.AddScoped<ExampleService>();

@page "/inject-auth-state-provider"
@inherits OwningComponentBase
@inject AuthenticationStateProvider AuthenticationStateProvider

<h1>Inject <code>AuthenticationStateProvider</code> Example</h1>

<p>@message</p>

@code {
    private string? message;
    private ExampleService? ExampleService { get; set; }

    protected override async Task OnInitializedAsync()
    {
        ExampleService = ScopedServices.GetRequiredService<ExampleService>();

        message = await ExampleService.ExampleMethod(AuthenticationStateProvider);
    }
}

@page "/inject-auth-state-provider"
@inject AuthenticationStateProvider AuthenticationStateProvider
@inherits OwningComponentBase

<h1>Inject <code>AuthenticationStateProvider</code> Example</h1>

<p>@message</p>

@code {
    private string? message;
    private ExampleService? ExampleService { get; set; }

    protected override async Task OnInitializedAsync()
    {
        ExampleService = ScopedServices.GetRequiredService<ExampleService>();

        message = await ExampleService.ExampleMethod(AuthenticationStateProvider);
    }
}

• Nonaktifkan pra-penyajian: Menunjukkan mode render dengan parameter yang prerender diatur ke false pada komponen tingkat tertinggi dalam hierarki komponen aplikasi yang bukan komponen akar.

  Catatan

  Membuat komponen akar interaktif, seperti App komponen, tidak didukung. Oleh karena itu, pra-penyajian tidak dapat dinonaktifkan secara langsung oleh App komponen.

  Untuk aplikasi berdasarkan Blazor Web App templat proyek, pra-penyajian biasanya dinonaktifkan di mana Routes komponen digunakan dalam App komponen (Components/App.razor) :

  <Routes @rendermode="new InteractiveServerRenderMode(prerender: false)" />
  

  Selain itu, nonaktifkan pra-penyajian HeadOutlet untuk komponen:

  <HeadOutlet @rendermode="new InteractiveServerRenderMode(prerender: false)" />
  

  Anda juga dapat secara selektif mengontrol mode render yang diterapkan ke Routes instans komponen. Misalnya, lihat Blazor render ASP.NET Core.

• Nonaktifkan pra-penyajian_Host.cshtml: Buka file dan ubah render-mode atribut Pembantu Tag Komponen menjadi Server:

  <component type="typeof(App)" render-mode="Server" />
  

Durasi validitas URL pengalihan sementara

Bagian ini berlaku untuk Blazor Web Apps.

RazorComponentsServiceOptions.TemporaryRedirectionUrlValidityDuration Gunakan opsi untuk mendapatkan atau mengatur masa pakai validitas Perlindungan Data Inti ASP.NET untuk URL pengalihan sementara yang dipancarkan oleh Blazor penyajian sisi server. Ini hanya digunakan secara sementara, sehingga masa pakai hanya perlu cukup lama bagi klien untuk menerima URL dan mulai navigasi ke dalamnya. Namun, itu juga harus cukup lama untuk memungkinkan ke condong jam di seluruh server. Nilai defaultnya adalah lima menit.

Dalam contoh berikut, nilai diperpanjang hingga tujuh menit:

builder.Services.AddRazorComponents(options => 
    options.TemporaryRedirectionUrlValidityDuration = 
        TimeSpan.FromMinutes(7));

AuthenticationStateProvider adalah layanan yang mendasari yang digunakan oleh AuthorizeView komponen dan layanan autentikasi berkala untuk mendapatkan status autentikasi bagi pengguna.

AuthenticationStateProvider adalah layanan yang mendasar yang digunakan oleh AuthorizeView komponen dan CascadingAuthenticationState komponen untuk mendapatkan status autentikasi bagi pengguna.

@page "/claims-principal-data"
@using System.Security.Claims
@inject AuthenticationStateProvider AuthenticationStateProvider

<h1>ClaimsPrincipal Data</h1>

<button @onclick="GetClaimsPrincipalData">Get ClaimsPrincipal Data</button>

<p>@authMessage</p>

@if (claims.Any())
{
    <ul>
        @foreach (var claim in claims)
        {
            <li>@claim.Type: @claim.Value</li>
        }
    </ul>
}

<p>@surname</p>

@code {
    private string? authMessage;
    private string? surname;
    private IEnumerable<Claim> claims = Enumerable.Empty<Claim>();

    private async Task GetClaimsPrincipalData()
    {
        var authState = await AuthenticationStateProvider
            .GetAuthenticationStateAsync();
        var user = authState.User;

        if (user.Identity is not null && user.Identity.IsAuthenticated)
        {
            authMessage = $"{user.Identity.Name} is authenticated.";
            claims = user.Claims;
            surname = user.FindFirst(c => c.Type == ClaimTypes.Surname)?.Value;
        }
        else
        {
            authMessage = "The user is NOT authenticated.";
        }
    }
}

Dalam contoh sebelumnya:

• ClaimsPrincipal.Claims mengembalikan klaim pengguna (claims) untuk ditampilkan di UI.
• Baris yang mendapatkan panggilan surname nama keluarga (ClaimsPrincipal.FindAll) pengguna dengan predikat untuk memfilter klaim pengguna.

@page "/claims-principal-data"
@using System.Security.Claims
@inject AuthenticationStateProvider AuthenticationStateProvider

<h1>ClaimsPrincipal Data</h1>

<button @onclick="GetClaimsPrincipalData">Get ClaimsPrincipal Data</button>

<p>@authMessage</p>

@if (claims.Any())
{
    <ul>
        @foreach (var claim in claims)
        {
            <li>@claim.Type: @claim.Value</li>
        }
    </ul>
}

<p>@surname</p>

@code {
    private string? authMessage;
    private string? surname;
    private IEnumerable<Claim> claims = Enumerable.Empty<Claim>();

    private async Task GetClaimsPrincipalData()
    {
        var authState = await AuthenticationStateProvider
            .GetAuthenticationStateAsync();
        var user = authState.User;

        if (user.Identity is not null && user.Identity.IsAuthenticated)
        {
            authMessage = $"{user.Identity.Name} is authenticated.";
            claims = user.Claims;
            surname = user.FindFirst(c => c.Type == ClaimTypes.Surname)?.Value;
        }
        else
        {
            authMessage = "The user is NOT authenticated.";
        }
    }
}

@page "/cascade-auth-state"

<h1>Cascade Auth State</h1>

<p>@authMessage</p>

@code {
    private string authMessage = "The user is NOT authenticated.";

    [CascadingParameter]
    private Task<AuthenticationState>? authenticationState { get; set; }

    protected override async Task OnInitializedAsync()
    {
        if (authenticationState is not null)
        {
            var authState = await authenticationState;
            var user = authState?.User;

            if (user?.Identity is not null && user.Identity.IsAuthenticated)
            {
                authMessage = $"{user.Identity.Name} is authenticated.";
            }
        }
    }
}

@page "/cascade-auth-state"

<h1>Cascade Auth State</h1>

<p>@authMessage</p>

@code {
    private string authMessage = "The user is NOT authenticated.";

    [CascadingParameter]
    private Task<AuthenticationState>? authenticationState { get; set; }

    protected override async Task OnInitializedAsync()
    {
        if (authenticationState is not null)
        {
            var authState = await authenticationState;
            var user = authState?.User;

            if (user?.Identity is not null && user.Identity.IsAuthenticated)
            {
                authMessage = $"{user.Identity.Name} is authenticated.";
            }
        }
    }
}

Siapkan Task<AuthenticationState> parameter bertingkat menggunakan AuthorizeRouteView layanan status autentikasi dan bertingkat.

Saat Anda membuat Blazor aplikasi dari salah Blazor satu templat proyek dengan autentikasi diaktifkan, aplikasi menyertakan AuthorizeRouteView dan panggilan untuk AddCascadingAuthenticationState ditampilkan dalam contoh berikut. Aplikasi sisi Blazor klien juga menyertakan pendaftaran layanan yang diperlukan. Informasi tambahan disajikan di bagian Kustomisasi konten yang tidak sah dengan Router komponen .

<Router ...>
    <Found ...>
        <AuthorizeRouteView RouteData="routeData" 
            DefaultLayout="typeof(Layout.MainLayout)" />
        ...
    </Found>
</Router>

Program Dalam file, daftarkan layanan status autentikasi berkala:

builder.Services.AddCascadingAuthenticationState();

Siapkan Task<AuthenticationState>parameter bertingkat menggunakan AuthorizeRouteView komponen dan .CascadingAuthenticationState

Saat Anda membuat Blazor aplikasi dari salah Blazor satu templat proyek dengan autentikasi diaktifkan, aplikasi menyertakan komponen dan AuthorizeRouteView yang CascadingAuthenticationState ditampilkan dalam contoh berikut. Aplikasi sisi Blazor klien juga menyertakan pendaftaran layanan yang diperlukan. Informasi tambahan disajikan di bagian Kustomisasi konten yang tidak sah dengan Router komponen .

<CascadingAuthenticationState>
    <Router ...>
        <Found ...>
            <AuthorizeRouteView RouteData="routeData" 
                DefaultLayout="typeof(MainLayout)" />
            ...
        </Found>
    </Router>
</CascadingAuthenticationState>

Di aplikasi sisi Blazor klien, tambahkan layanan otorisasi ke Program file:

builder.Services.AddAuthorizationCore();

Di aplikasi sisi Blazor klien, tambahkan opsi dan layanan otorisasi ke Program file:

builder.Services.AddOptions();
builder.Services.AddAuthorizationCore();

Razor komponen Blazor Web Apps tidak pernah menampilkan <NotAuthorized> konten ketika otorisasi gagal di sisi server selama penyajian sisi server statis (SSR statis). Alur sisi server ASP.NET Core memproses otorisasi di server. Gunakan teknik sisi server untuk menangani permintaan yang tidak sah. Untuk informasi selengkapnya, lihat Blazor render ASP.NET Core.

Otorisasi sumber daya

Untuk mengotorisasi pengguna atas sumber daya, teruskan data rute permintaan ke parameter Resource dari AuthorizeRouteView.

Router.Found Dalam konten untuk rute yang diminta:

<AuthorizeRouteView Resource="routeData" RouteData="routeData" 
    DefaultLayout="typeof(MainLayout)" />

Untuk informasi lebih lanjut tentang bagaimana data status otorisasi diteruskan dan digunakan dalam logika prosedural, lihat bagian Mengekspos status autentikasi sebagai parameter berskala.

Saat AuthorizeRouteView menerima data rute untuk sumber daya, kebijakan otorisasi memiliki akses ke RouteData.PageType dan RouteData.RouteValues yang mengizinkan logika kustom untuk membuat keputusan otorisasi.

Dalam contoh berikut, kebijakan EditUser dibuat di AuthorizationOptions untuk konfigurasi layanan otorisasi aplikasi (AddAuthorizationCore) dengan logika berikut:

• Tentukan apakah ada nilai rute dengan kunci id. Jika kunci ada, nilai rute disimpan di value.
• Dalam variabel bernama id, simpan value sebagai string atau tetapkan nilai string kosong (string.Empty).
• Jika id bukan string kosong, tegaskan bahwa kebijakan terpenuhi (kembalikan true) jika nilai string dimulai dengan EMP. Jika tidak, nyatakan bahwa kebijakan tersebut gagal (kembalikan false).

Dalam file Program:

• Tambahkan namespace untuk Microsoft.AspNetCore.Components dan System.Linq:

  using Microsoft.AspNetCore.Components;
  using System.Linq;
  

• Tambahkan kebijakan:

  options.AddPolicy("EditUser", policy =>
      policy.RequireAssertion(context =>
      {
          if (context.Resource is RouteData rd)
          {
              var routeValue = rd.RouteValues.TryGetValue("id", out var value);
              var id = Convert.ToString(value, 
                  System.Globalization.CultureInfo.InvariantCulture) ?? string.Empty;
  
              if (!string.IsNullOrEmpty(id))
              {
                  return id.StartsWith("EMP", StringComparison.InvariantCulture);
              }
          }
  
          return false;
      })
  );
  

Contoh sebelumnya adalah kebijakan otorisasi yang terlalu disederhanakan, hanya digunakan untuk menunjukkan konsep dengan contoh kerja. Untuk informasi lebih lanjut tentang membuat dan mengonfigurasi kebijakan otorisasi, lihat Otorisasi berbasis kebijakan di ASP.NET Core.

Dalam komponen EditUser berikut, sumber daya di /users/{id}/edit memiliki parameter rute untuk pengidentifikasi pengguna ({id}). Komponen menggunakan kebijakan otorisasi EditUser sebelumnya untuk menentukan apakah nilai rute untuk id dimulai dengan EMP. Jika id dimulai dengan EMP, kebijakan berhasil dan akses ke komponen diotorisasi. Jika id dimulai dengan nilai selain EMP atau jika id adalah string kosong, kebijakan gagal, dan komponen tidak dimuat.

EditUser.razor:

@page "/users/{id}/edit"
@using Microsoft.AspNetCore.Authorization
@attribute [Authorize(Policy = "EditUser")]

<h1>Edit User</h1>

<p>The "EditUser" policy is satisfied! <code>Id</code> starts with 'EMP'.</p>

@code {
    [Parameter]
    public string? Id { get; set; }
}

@page "/users/{id}/edit"
@using Microsoft.AspNetCore.Authorization
@attribute [Authorize(Policy = "EditUser")]

<h1>Edit User</h1>

<p>The "EditUser" policy is satisfied! <code>Id</code> starts with 'EMP'.</p>

@code {
    [Parameter]
    public string? Id { get; set; }
}

<Router ...>
    <Found ...>
        <AuthorizeRouteView ...>
            <NotAuthorized>
                ...
            </NotAuthorized>
            <Authorizing>
                ...
            </Authorizing>
        </AuthorizeRouteView>
    </Found>
</Router>

Authorized Konten dan NotAuthorized dapat mencakup item arbitrer, seperti komponen interaktif lainnya.

builder.Services.AddCascadingAuthenticationState();

<CascadingAuthenticationState>
    <Router ...>
        <Found ...>
            <AuthorizeRouteView ...>
                <NotAuthorized>
                    ...
                </NotAuthorized>
                <Authorizing>
                    ...
                </Authorizing>
            </AuthorizeRouteView>
        </Found>
    </Router>
</CascadingAuthenticationState>

NotFoundKonten , Authorized, dan NotAuthorized dapat mencakup item arbitrer, seperti komponen interaktif lainnya.

@page "/procedural-logic"
@inject IAuthorizationService AuthorizationService

<h1>Procedural Logic Example</h1>

<button @onclick="@DoSomething">Do something important</button>

@code {
    [CascadingParameter]
    private Task<AuthenticationState>? authenticationState { get; set; }

    private async Task DoSomething()
    {
        if (authenticationState is not null)
        {
            var authState = await authenticationState;
            var user = authState?.User;

            if (user is not null)
            {
                if (user.Identity is not null && user.Identity.IsAuthenticated)
                {
                    // ...
                }

                if (user.IsInRole("Admin"))
                {
                    // ...
                }

                if ((await AuthorizationService.AuthorizeAsync(user, "content-editor"))
                    .Succeeded)
                {
                    // ...
                }
            }
        }
    }
}

@page "/procedural-logic"
@inject IAuthorizationService AuthorizationService

<h1>Procedural Logic Example</h1>

<button @onclick="@DoSomething">Do something important</button>

@code {
    [CascadingParameter]
    private Task<AuthenticationState>? authenticationState { get; set; }

    private async Task DoSomething()
    {
        if (authenticationState is not null)
        {
            var authState = await authenticationState;
            var user = authState?.User;

            if (user is not null)
            {
                if (user.Identity is not null && user.Identity.IsAuthenticated)
                {
                    // ...
                }

                if (user.IsInRole("Admin"))
                {
                    // ...
                }

                if ((await AuthorizationService.AuthorizeAsync(user, "content-editor"))
                    .Succeeded)
                {
                    // ...
                }
            }
        }
    }
}

• Sisi server dan Blazor Web App sumber daya
  • Mulai cepat: Menambahkan perincian masuk dengan Microsoft ke aplikasi web ASP.NET Core
  • Mulai Cepat : Melindungi API web ASP.NET Core dengan platform identitas Microsoft
  • Konfigurasikan ASP.NET Core untuk bekerja dengan server proksi dan load balancer: Mencakup panduan tentang:
    • Menggunakan Forwarded Headers Middleware untuk mempertahankan informasi skema HTTPS di seluruh server proksi dan jaringan internal.
    • Skenario tambahan dan kasus penggunaan, termasuk konfigurasi skema manual, perubahan jalur permintaan untuk perutean permintaan yang benar, dan meneruskan skema permintaan untuk proksi terbalik Linux dan non-IIS.
• Dokumentasi platform identitas Microsoft
  • Ringkasan
  • protokol OAuth 2.0 dan OpenID Connect pada platform identitas Microsoft
  • platform identitas Microsoft dan alur kode otorisasi OAuth 2.0
  • ID token platform identitas Microsoft
  • token akses platform identitas Microsoft
• Topik keamanan ASP.NET Core
• Mengonfigurasi Autentikasi Windows di ASP.NET Core
• IHttpContextAccessor/HttpContext di aplikasi ASP.NET Core Blazor
• Membuat versi kustom pustaka JavaScript Authentication.MSAL
• Mengagumkan Blazor: Tautan sampel komunitas Autentikasi
• ASP.NET Core Blazor Hybrid autentikasi dan otorisasi

• Sumber daya sisi Blazor server
  • Mulai cepat: Menambahkan perincian masuk dengan Microsoft ke aplikasi web ASP.NET Core
  • Mulai Cepat : Melindungi API web ASP.NET Core dengan platform identitas Microsoft
  • Konfigurasikan ASP.NET Core untuk bekerja dengan server proksi dan load balancer: Mencakup panduan tentang:
    • Menggunakan Forwarded Headers Middleware untuk mempertahankan informasi skema HTTPS di seluruh server proksi dan jaringan internal.
    • Skenario tambahan dan kasus penggunaan, termasuk konfigurasi skema manual, perubahan jalur permintaan untuk perutean permintaan yang benar, dan meneruskan skema permintaan untuk proksi terbalik Linux dan non-IIS.
• Dokumentasi platform identitas Microsoft
  • Ringkasan
  • protokol OAuth 2.0 dan OpenID Connect pada platform identitas Microsoft
  • platform identitas Microsoft dan alur kode otorisasi OAuth 2.0
  • ID token platform identitas Microsoft
  • token akses platform identitas Microsoft
• Topik keamanan ASP.NET Core
• IHttpContextAccessor/HttpContext di aplikasi ASP.NET Core Blazor
• Mengonfigurasi Autentikasi Windows di ASP.NET Core
• Membuat versi kustom pustaka JavaScript Authentication.MSAL
• Mengagumkan Blazor: Tautan sampel komunitas Autentikasi