.NET 8中JWT认证通过但角色授权返回403问题排查与优化

问题核心原因 #

你的JWT载荷中http://schemas.microsoft.com/ws/2008/06/identity/claims/role字段的值是带大量尾部空格的"user "，而ASP.NET Core的[Authorize(Roles = "user")]采用精确字符串匹配，空格会导致角色校验不通过，返回403 Forbidden。同时注意到email、name等字段也存在大量冗余空格，需要一并处理。

修复方案 #

方案1：从JWT生成端彻底解决（推荐） #

在生成JWT Token的代码中，对所有字符串类型的声明值（尤其是角色、用户名、邮箱）调用Trim()方法，去除首尾空格：

// 生成JWT时添加角色声明的代码修改示例
// 原代码：claims.Add(new Claim(ClaimTypes.Role, user.Role));
claims.Add(new Claim(ClaimTypes.Role, user.Role.Trim()));

// 同步处理其他带空格的字段
claims.Add(new Claim(ClaimTypes.Name, user.FullName.Trim()));
claims.Add(new Claim(ClaimTypes.Email, user.Email.Trim()));

方案2：在验证端处理冗余空格（应急兼容） #

如果暂时无法修改生成端代码，可在ASP.NET Core的JWT验证配置中添加声明转换逻辑，自动修剪角色字段的空格：

修改program.cs中的JWT配置部分：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidIssuer = tokenOptions.Issuer,
            ValidAudience = tokenOptions.Audience,
            ValidateIssuerSigningKey = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(tokenOptions.SecurityKey)),
            ClockSkew = TimeSpan.Zero
        };

        // 添加声明转换：修剪角色字段的空格
        options.ClaimActions.MapJsonKey(ClaimTypes.Role, "http://schemas.microsoft.com/ws/2008/06/identity/claims/role");
        options.ClaimActions.TransformJsonClaim(ClaimTypes.Role, value => value.ToString().Trim());

        // 可选：同步处理其他带空格的字段
        options.ClaimActions.MapJsonKey(ClaimTypes.Name, "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name");
        options.ClaimActions.TransformJsonClaim(ClaimTypes.Name, value => value.ToString().Trim());
        options.ClaimActions.MapJsonKey(ClaimTypes.Email, "email");
        options.ClaimActions.TransformJsonClaim(ClaimTypes.Email, value => value.ToString().Trim());
    });

也可以通过OnTokenValidated事件手动处理Claims：

options.Events = new JwtBearerEvents
{
    OnTokenValidated = context =>
    {
        var identity = context.Principal.Identity as ClaimsIdentity;
        if (identity == null) return Task.CompletedTask;

        // 处理角色声明
        var roleClaims = identity.Claims.Where(c => c.Type == ClaimTypes.Role).ToList();
        foreach (var claim in roleClaims)
        {
            identity.RemoveClaim(claim);
            identity.AddClaim(new Claim(ClaimTypes.Role, claim.Value.Trim()));
        }

        // 处理姓名、邮箱等字段
        var nameClaims = identity.Claims.Where(c => c.Type == ClaimTypes.Name).ToList();
        foreach (var claim in nameClaims)
        {
            identity.RemoveClaim(claim);
            identity.AddClaim(new Claim(ClaimTypes.Name, claim.Value.Trim()));
        }

        var emailClaims = identity.Claims.Where(c => c.Type == ClaimTypes.Email).ToList();
        foreach (var claim in emailClaims)
        {
            identity.RemoveClaim(claim);
            identity.AddClaim(new Claim(ClaimTypes.Email, claim.Value.Trim()));
        }

        return Task.CompletedTask;
    }
};

优化建议 #

• 数据清洗前置：在用户数据入库或生成JWT前，统一对字符串字段做Trim处理，从根源避免冗余空格问题
• 明确声明映射：在JWT验证配置中显式映射自定义声明类型到标准ClaimTypes，避免解析歧义
• 自定义授权策略：如果需要更灵活的角色校验（如忽略大小写、支持模糊匹配），可创建自定义授权策略：

// 注册自定义授权策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("TrimmedRole", policy =>
        policy.RequireAssertion(context =>
        {
            var userRoles = context.User.Claims
                .Where(c => c.Type == ClaimTypes.Role)
                .Select(c => c.Value.Trim());
            return userRoles.Contains("user");
        }));
});

// 控制器中使用
[Authorize(Policy = "TrimmedRole")]
public class ProductsController : ControllerBase
{
    // ...
}

• 日志调试：添加授权日志，便于排查角色校验失败的具体原因：

// 在program.cs中添加日志配置
builder.Logging.AddFilter("Microsoft.AspNetCore.Authorization", LogLevel.Debug);

内容的提问来源于stack exchange，提问作者WowDogeCode