Blazor 中实现 OAuth2 第三方登录，核心是借助 ASP.NET Core 的身份认证中间件（如
Microsoft.AspNetCore.Authentication.Google、
Microsoft.AspNetCore.Authentication.GitHub等），由服务端完成授权码交换和用户信息获取，前端 Blazor（尤其是 Server 或 WebAssembly 托管模式）通过标准重定向流程参与。关键不在于 Blazor 自己“发起 OAuth”，而在于它如何与后端认证体系协同工作。
Server 模式：依赖服务端完整 OAuth 流程
Blazor Server 应用运行在服务器，所有交互走 SignalR，OAuth 登录完全复用传统 ASP.NET Core MVC/Razor Pages 的方式：
在Program.cs中注册认证服务并配置第三方提供者（如 GitHub）： builder.Services.AddAuthentication().AddGitHub(options => {
options.ClientId = "your-client-id";
options.ClientSecret = "your-client-secret";
}); 确保启用认证中间件：
app.UseAuthentication(); app.UseAuthorization();提供一个普通 Razor Page（如
Login.razor或
Pages/Login.cshtml）作为登录入口，包含跳转到
/Identity/Account/ExternalLogin?provider=GitHub&returnUrl=/的链接 用户点击后，由 ASP.NET Core 自动重定向到 GitHub 授权页 → 用户同意 → GitHub 回调你的
/signin-github（默认路径）→ 框架完成 token 交换、创建 ClaimsPrincipal 并写入 Cookie Blazor 组件中可通过
@inject AuthenticationStateProvider AuthStateProvider获取当前用户（需继承
RevalidatingServerAuthenticationStateProvider实现自动刷新）
WebAssembly 托管模式（Hosted）：前后端分离下的协作
Blazor WebAssembly 托管应用包含客户端 wasm + 后端 API 项目。OAuth 仍由后端完成，但前端需主动触发重定向并处理回调：
后端（Server 项目）照常配置 GitHub/Google 认证，并暴露一个 API（如POST /api/auth/login-start?provider=github）返回重定向 URL（或直接 302） 前端 Blazor WASM 调用该 API，拿到授权地址后用
NavigationManager.NavigateTo(url, forceLoad: true)跳转到 GitHub GitHub 回调后端的
/signin-github，后端验证成功后，应设置好认证 Cookie，并重定向回 Blazor 前端（如
/auth/callback） 前端在
/auth/callback页面（可是一个空的
Callback.razor）中，向后端发起一个受保护的 API 请求（如
/api/auth/user），以触发 Cookie 认证，从而获取当前用户信息并存入本地状态
WebAssembly 独立模式（Standalone）：需手动处理 PKCE
纯前端 WASM（无后端）无法安全保管 client_secret，必须使用 PKCE 流程，且需调用第三方的 OIDC 兼容端点（如 GitHub 不原生支持 PKCE，Google/Okta/Azure AD 支持）：
使用社区库如 Blazor.Auth0 或 Microsoft.Identity.Web 的轻量封装 前端生成 code_verifier/code_challenge，拼接授权 URL（含response_type=code、
code_challenge_method=S256等参数） 跳转授权页 → 用户同意 → 回调到你的应用（如
/authentication/login-callback）→ 提取 code → 用 code + code_verifier 向令牌端点换 token 将 token 存入
localStorage或
ProtectedSessionStorage，并注入自定义
AuthenticationStateProvider管理登录态
统一状态管理与用户体验
无论哪种模式，都建议：
用AuthenticationStateProvider封装登录/登出逻辑，组件中用
@attribute [Authorize]或
<authorizeview></authorizeview>控制内容显示 登出时，Server 模式调用
SignOutAsync()清除 Cookie；WASM 独立模式清除本地 token 即可 避免在 Blazor 组件中硬编码重定向 URL，提取为配置项（
appsettings.json或环境变量） 对 GitHub 等不支持 PKCE 的 provider，独立 WASM 模式下不推荐直接集成，优先选托管模式或换用支持 OIDC 的平台（如 Azure AD B2C）
基本上就这些。Blazor 本身不替代 OAuth 协议，而是作为 UI 层融入 ASP.NET Core 成熟的身份认证生态。选对部署模式，再匹配对应流程，就能稳妥落地第三方登录。
