如何在基于ASP.NET Core Identity的React项目中实现角色授权？

你的项目已使用ASP.NET Core Identity的API端点，以下是扩展支持基于角色授权的具体步骤：

1. 更新Identity服务配置，启用角色支持 #

在Program.cs的服务注册段，修改AddIdentityApiEndpoints配置，添加角色相关服务：

builder.Services.AddIdentityApiEndpoints<ApplicationUser>()
    .AddRoles<IdentityRole>() // 启用角色支持
    .AddRoleManager<RoleManager<IdentityRole>>() // 添加角色管理器依赖
    .AddEntityFrameworkStores<ApplicationDbContext>();

2. 更新ApplicationDbContext继承关系 #

确保ApplicationDbContext继承包含角色的Identity上下文，修改ReactApp1.Server.Data/ApplicationDbContext.cs：

using Microsoft.AspNetCore.Identity.EntityFrameworkCore;
using Microsoft.EntityFrameworkCore;

namespace ReactApp1.Server.Data
{
    public class ApplicationDbContext : IdentityDbContext<ApplicationUser, IdentityRole, string>
    {
        public ApplicationDbContext(DbContextOptions<ApplicationDbContext> options)
            : base(options)
        {
        }
    }
}

3. 执行数据库迁移 #

因修改了Identity模型结构，需生成并执行迁移更新数据库：
打开终端或包管理器控制台，运行命令：

Add-Migration AddRolesSupport
Update-Database

4. 初始化默认角色（可选但推荐） #

在程序启动时创建常用角色（如Admin、User），在Program.cs的app.Build()之后添加初始化逻辑：

using (var scope = app.Services.CreateScope())
{
    var roleManager = scope.ServiceProvider.GetRequiredService<RoleManager<IdentityRole>>();
    string[] roleNames = { "Admin", "User" };

    foreach (var roleName in roleNames)
    {
        var roleExist = await roleManager.RoleExistsAsync(roleName);
        if (!roleExist)
        {
            await roleManager.CreateAsync(new IdentityRole(roleName));
        }
    }
}

5. 配置Token包含角色Claims #

默认Identity API端点生成的JWT不包含角色信息，需添加Claims工厂配置让Token携带角色：

builder.Services.AddScoped<IUserClaimsPrincipalFactory<ApplicationUser>, UserClaimsPrincipalFactory<ApplicationUser, IdentityRole>>();

6. 使用角色授权保护资源 #

保护单个API端点 #

// 仅Admin角色可访问
app.MapGet("/admin/dashboard", () =>
{
    return Results.Ok("Admin专属面板内容");
}).RequireAuthorization(policy => policy.RequireRole("Admin"));

// Admin或User角色均可访问
app.MapGet("/user/profile", (ClaimsPrincipal user) =>
{
    var email = user.FindFirstValue(ClaimTypes.Email);
    var roles = user.Claims.Where(c => c.Type == ClaimTypes.Role).Select(c => c.Value);
    return Results.Json(new { Email = email, Roles = roles });
}).RequireAuthorization(policy => policy.RequireRole("Admin", "User"));

保护控制器/方法 #

在控制器类或方法上添加[Authorize]特性并指定角色：

using Microsoft.AspNetCore.Authorization;
using Microsoft.AspNetCore.Mvc;

namespace ReactApp1.Server.Controllers
{
    [ApiController]
    [Route("[controller]")]
    [Authorize(Roles = "Admin")]
    public class AdminController : ControllerBase
    {
        [HttpGet("settings")]
        public IActionResult GetSettings()
        {
            return Ok("Admin系统设置");
        }
    }
}

7. 为用户分配角色 #

可通过代码或直接操作数据库为用户分配角色，示例代码：

// 在用户注册或管理逻辑中执行
var userManager = scope.ServiceProvider.GetRequiredService<UserManager<ApplicationUser>>();
var targetUser = await userManager.FindByEmailAsync("example@domain.com");
if (targetUser != null)
{
    // 分配单个角色
    await userManager.AddToRoleAsync(targetUser, "User");
    // 分配多个角色
    await userManager.AddToRolesAsync(targetUser, new[] { "Admin", "User" });
}

内容的提问来源于stack exchange，提问作者hmahdavi