ASP.NET Core Web API中RBAC授权异常：添加角色Claim后Authorize属性失效

1. 最可能的原因：[Authorize]属性参数拼写错误 #

你代码中使用的是[Authorize(Role = "Admin")]，但ASP.NET Core中Authorize属性指定角色的正确参数是复数形式的Roles，而非单数Role。参数名错误会导致授权逻辑忽略角色限制，所有已认证用户都能访问接口。

修正代码：

[Authorize(Roles = "Admin")] // 注意是Roles，不是Role

2. 中间件顺序错误 #

添加角色Claim的自定义中间件必须放在UseAuthorization()之前执行，否则授权逻辑运行时，角色Claim还未被添加到用户身份中。

正确的中间件顺序示例：

var app = builder.Build();

// 先执行认证中间件
app.UseAuthentication();

// 再执行你的添加角色中间件
app.UseMiddleware<YourRoleAddingMiddleware>();

// 最后执行授权中间件
app.UseAuthorization();

// 其他中间件...
app.MapControllers();

3. ClaimsIdentity的认证类型或状态问题 #

如果直接修改原有的ClaimsIdentity，可能存在IsAuthenticated为false或认证类型未正确设置的情况，导致授权系统不认可添加的角色Claim。

修正方式：重新创建ClaimsIdentity并保留认证类型

var roles = await roleService.GetRolesAsync(username);

// 保留原身份的认证类型，确保IsAuthenticated状态正确
var newClaims = context.User.Claims.ToList();
foreach (var role in roles)
{
    newClaims.Add(new Claim(ClaimTypes.Role, role));
}

var updatedIdentity = new ClaimsIdentity(newClaims, context.User.Identity.AuthenticationType);
context.User = new ClaimsPrincipal(updatedIdentity);

4. JWT认证配置中的角色声明类型不匹配 #

如果使用JWT认证，需确保TokenValidationParameters中的RoleClaimType与你添加的Claim类型一致（即ClaimTypes.Role）。

配置示例：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = "your-issuer",
            ValidAudience = "your-audience",
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes("your-secret-key")),
            // 确保角色声明类型匹配
            RoleClaimType = ClaimTypes.Role
        };
    });

内容的提问来源于stack exchange，提问作者Karthik Shellikeri