ASP.NET Core 6微服务中Authorize(Roles)角色验证失效问题排查

问题描述 #

我尝试使用[Authorize(Roles = "Temp")]验证用户角色，但该验证从未生效——携带任意角色（甚至无对应角色）的请求都能成功通过。我设置了校验名为Temp的角色，测试用的令牌中并不包含该角色，这一点已通过读取Claims中角色的代码确认。

已完成的配置：

• Program.cs中已按顺序调用AddAuthentication()、AddMvc()、UseAuthentication()和UseAuthorization()
• 未自定义授权处理器，认为角色校验属于标准功能
• 未配置额外策略，仅需基于角色校验
• 控制器及Action未添加[AllowAnonymous]属性

相关代码：

[HttpGet]
[Route("temp")]
[Authorize(Roles = "Temp")]
public ActionResult Temp()
{
    var roles = this.IdentityService.GetRoles();
    return this.Content(string.Join(",", roles));
}

public List<string> GetRoles()
{
    var roles = new List<string>();

    if (this.context.HttpContext != null &&
        this.context.HttpContext.User.HasClaim(c => c.Type == "roles"))
    {
        roles.AddRange(this.context.HttpContext.User.Claims.Where(c => c.Type == "roles").Select(c => c.Value));
    }

    return roles;
}

排查方向与解决方法 #

1. Claims类型不匹配 #

ASP.NET Core默认识别的角色Claim类型是ClaimTypes.Role（对应标准值http://schemas.microsoft.com/ws/2008/06/identity/claims/role），而你的代码中读取的是自定义的"roles"类型。框架的角色授权逻辑只会识别默认的角色Claim类型，因此即使令牌中存在"roles" Claim，授权系统也不会将其视为角色。

解决方法：
在认证方案配置中，指定角色Claim的自定义类型。以JWT认证为例：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            // 其他必要配置（如Issuer、Audience、SigningKey等）
            RoleClaimType = "roles" // 匹配你令牌中的角色Claim类型
        };
    });

或者在生成令牌时，将角色Claim的类型改为ClaimTypes.Role对应的标准值。

2. 未指定认证方案 #

如果系统中存在多个认证方案，[Authorize]属性未明确指定使用的方案时，可能导致授权逻辑未使用正确的认证结果。可以在属性中明确指定方案：

[Authorize(AuthenticationSchemes = JwtBearerDefaults.AuthenticationScheme, Roles = "Temp")]

3. 中间件顺序再次确认 #

确保中间件注册顺序严格遵循以下规则：

app.UseRouting();
app.UseAuthentication(); // 认证必须在授权之前
app.UseAuthorization();
app.UseEndpoints(endpoints =>
{
    endpoints.MapControllers();
});

即使AddMvc()内部会调用AddAuthentication()，中间件的注册顺序仍需严格遵守上述流程。

4. 令牌验证参数配置不全 #

检查TokenValidationParameters是否启用了必要的验证项，比如ValidateIssuerSigningKey = true、ValidateIssuer、ValidateAudience等，确保令牌本身是有效的。如果令牌验证不通过，用户身份可能处于未认证状态，但授权逻辑未正确拦截的话也会出现请求通过的情况。

内容的提问来源于stack exchange，提问作者user3338893