.NET 8 ASP.NET Core Identity登录JWT不含角色字段问题求助

要让JWT令牌包含用户角色，核心是在生成令牌时把用户角色添加到Claims集合，同时确保JWT认证配置正确映射角色声明，具体步骤如下：

1. 配置JWT认证的角色声明映射 #

在Program.cs的认证服务配置中，指定JWT的角色声明类型为ASP.NET Core Identity使用的ClaimTypes.Role，确保后端能正确识别令牌中的角色：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"])),
            // 映射Identity的角色声明到JWT
            RoleClaimType = ClaimTypes.Role
        };
    });

2. 登录接口中添加角色到JWT Claims #

修改你的/login接口逻辑，在生成令牌前获取用户的所有角色，并将每个角色作为Claim添加到令牌中：

[HttpPost("login")]
public async Task<IActionResult> Login(LoginModel model)
{
    var user = await _userManager.FindByEmailAsync(model.Email);
    if (user == null || !await _userManager.CheckPasswordAsync(user, model.Password))
    {
        return Unauthorized("邮箱或密码错误");
    }

    // 获取用户关联的所有角色
    var userRoles = await _userManager.GetRolesAsync(user);

    // 构建Claims集合，包含基础用户信息和角色
    var claims = new List<Claim>
    {
        new Claim(ClaimTypes.NameIdentifier, user.Id),
        new Claim(ClaimTypes.Email, user.Email)
    };
    // 逐个添加角色声明
    foreach (var role in userRoles)
    {
        claims.Add(new Claim(ClaimTypes.Role, role));
    }

    // 生成JWT令牌
    var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_configuration["Jwt:Key"]));
    var signingCreds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);
    var jwtToken = new JwtSecurityToken(
        issuer: _configuration["Jwt:Issuer"],
        audience: _configuration["Jwt:Audience"],
        claims: claims,
        expires: DateTime.UtcNow.AddMinutes(30),
        signingCredentials: signingCreds);

    return Ok(new
    {
        Token = new JwtSecurityTokenHandler().WriteToken(jwtToken),
        Expiration = jwtToken.ValidTo
    });
}

3. 前端提取角色的方法 #

JWT令牌的Payload部分会包含角色声明，键为http://schemas.microsoft.com/ws/2008/06/identity/claims/role（对应ClaimTypes.Role）。前端可以通过解码JWT获取：

举个JavaScript示例（无需验证签名，仅解码Payload）：

function getRolesFromToken(token) {
    const payload = token.split('.')[1];
    const decoded = JSON.parse(atob(payload));
    // 可能是单个字符串或数组，视角色数量而定
    return decoded['http://schemas.microsoft.com/ws/2008/06/identity/claims/role'] || [];
}

如果希望角色字段更简洁，可以自定义Claim类型，比如用"role"代替默认的长键，只需在添加Claim时改用自定义键，同时在JWT配置中同步修改RoleClaimType即可。

内容的提问来源于stack exchange，提问作者John