的认证/授权在运行时是“服务端驱动”的：浏览器通过 SignalR 与服务端保持 Circuit，每个连接对应一个（用户身份）。组件通过获取当前并响应变更。（Role）是基于的简单方式；（Policy）更灵活，可基于任意 Claim、时间、外部调用或自定义验证器。：典型做法是把 Blazor Server 当作 “OAuth/OpenID Connect 客户端” — 使用 Cookie + OI