在自定义ActionFilterAttribute中访问HttpContext获取JWT Claims为空的问题

原因分析 #

出现HttpContext.User.Claims为空、IsAuthenticated为false的情况，主要有以下几个可能：

1. 认证中间件配置缺失或顺序错误
   ASP.NET Core中，认证流程依赖UseAuthentication和UseAuthorization中间件，如果未添加这两个中间件，或者它们的顺序不正确（必须放在UseRouting之后、UseEndpoints之前），认证逻辑不会执行，自然无法填充用户Claims。

2. 自定义特性误用ActionFilterAttribute
   ASP.NET Core的默认[Authorize]特性是实现IAuthorizationFilter的授权过滤器，会触发认证流程确保HttpContext.User被初始化。而你继承的ActionFilterAttribute属于动作过滤器，执行时机在授权过滤器之后，但如果没有触发认证流程（比如未启用默认授权），User对象仍未被填充。

3. JWT Token验证失败
   如果Token存在签名错误、过期、受众/发行者不匹配等问题，认证中间件会跳过用户身份认证，导致IsAuthenticated为false，Claims为空。

解决方案 #

1. 正确配置认证中间件 #

确保在Program.cs中正确配置JWT认证及中间件顺序：

using Microsoft.AspNetCore.Authentication.JwtBearer;
using Microsoft.IdentityModel.Tokens;
using System.Text;

var builder = WebApplication.CreateBuilder(args);

// 添加JWT认证服务
builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            // 从配置文件读取对应值
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
        };
    });

// 添加授权服务
builder.Services.AddAuthorization();

// 添加控制器服务
builder.Services.AddControllers();

var app = builder.Build();

// 中间件顺序必须严格遵循
app.UseRouting();
app.UseAuthentication(); // 必须在UseAuthorization之前
app.UseAuthorization();

app.MapControllers();

app.Run();

2. 改用授权过滤器实现自定义逻辑 #

推荐使用IAuthorizationFilter实现自定义授权，而非ActionFilterAttribute，这更符合ASP.NET Core的授权设计：

using Microsoft.AspNetCore.Mvc;
using Microsoft.AspNetCore.Mvc.Filters;
using System.Net;

public class CustomAuthorizeAttribute : Attribute, IAuthorizationFilter
{
    public string ModuleName { get; set; }
    public int Read { get; set; }

    public void OnAuthorization(AuthorizationFilterContext context)
    {
        // 先检查用户是否已认证
        if (!context.HttpContext.User.Identity.IsAuthenticated)
        {
            context.Result = new UnauthorizedResult();
            return;
        }

        // 从Claims中获取RoleId
        if (!int.TryParse(context.HttpContext.User.FindFirstValue("AcmRoleId"), out int roleId))
        {
            context.Result = new ContentResult
            {
                StatusCode = (int)HttpStatusCode.BadRequest,
                Content = "Role ID not found in token"
            };
            return;
        }

        // 此处添加你的权限验证逻辑，比如根据ModuleName和Read权限检查
        // 示例：检查当前角色是否拥有指定模块的对应权限
        bool hasPermission = CheckModulePermission(roleId, ModuleName, Read);
        if (!hasPermission)
        {
            context.Result = new ForbidResult();
            return;
        }
    }

    private bool CheckModulePermission(int roleId, string moduleName, int requiredReadPrivilege)
    {
        // 实现你的权限校验逻辑（比如查询数据库）
        // 示例返回true，实际根据业务调整
        return true;
    }
}

使用方式：

[CustomAuthorize(ModuleName = "Dashboard", Read = (int)ModulePrivileges.Own)]
public IActionResult Dashboard()
{
    // 控制器逻辑
    return Ok();
}

3. 基于策略的授权（最佳实践） #

如果需要更灵活的权限控制，推荐使用ASP.NET Core的策略授权：

步骤1：定义权限需求

using Microsoft.AspNetCore.Authorization;

public class ModulePermissionRequirement : IAuthorizationRequirement
{
    public string ModuleName { get; }
    public int RequiredReadPrivilege { get; }

    public ModulePermissionRequirement(string moduleName, int requiredReadPrivilege)
    {
        ModuleName = moduleName;
        RequiredReadPrivilege = requiredReadPrivilege;
    }
}

步骤2：实现授权处理程序

using Microsoft.AspNetCore.Authorization;

public class ModulePermissionHandler : AuthorizationHandler<ModulePermissionRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, ModulePermissionRequirement requirement)
    {
        // 检查用户是否已认证
        if (!context.User.Identity.IsAuthenticated)
        {
            context.Fail();
            return Task.CompletedTask;
        }

        // 获取RoleId
        if (!int.TryParse(context.User.FindFirstValue("AcmRoleId"), out int roleId))
        {
            context.Fail();
            return Task.CompletedTask;
        }

        // 权限校验逻辑
        bool hasPermission = CheckModuleAccess(roleId, requirement.ModuleName, requirement.RequiredReadPrivilege);
        if (hasPermission)
        {
            context.Succeed(requirement);
        }
        else
        {
            context.Fail();
        }

        return Task.CompletedTask;
    }

    private bool CheckModuleAccess(int roleId, string moduleName, int requiredPrivilege)
    {
        // 实现具体的权限校验逻辑
        return true;
    }
}

步骤3：注册服务并配置策略

在Program.cs中添加：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("DashboardOwnAccess", policy =>
        policy.Requirements.Add(new ModulePermissionRequirement("Dashboard", (int)ModulePrivileges.Own)));
});

// 注册授权处理程序
builder.Services.AddSingleton<IAuthorizationHandler, ModulePermissionHandler>();

步骤4：使用策略

[Authorize(Policy = "DashboardOwnAccess")]
public IActionResult Dashboard()
{
    return Ok();
}

排查建议 #

• 使用JWT解析工具检查请求中的Token，确认是否包含AcmRoleIdClaim，以及Token的签名、过期时间是否正常。
• 在中间件中添加调试日志，查看认证状态：

app.Use(async (context, next) =>
{
    var authStatus = context.User.Identity.IsAuthenticated ? "已认证" : "未认证";
    var claimsCount = context.User.Claims.Count();
    Console.WriteLine($"认证状态：{authStatus}，Claims数量：{claimsCount}");
    await next();
});

内容的提问来源于stack exchange，提问作者harish Sehwag