SystemWebAdapters远程认证无角色问题排查求助

核心原因 #

SystemWebAdapters 默认仅同步 Forms 认证的基础用户标识（如用户名）到 .NET 8 端的 ClaimsPrincipal，不会自动关联 SimpleMembership 存储的角色信息。.NET Framework 端的角色转 Claims 逻辑是 SimpleMembership 框架内部实现的自定义流程，.NET 8 端没有内置对应的自动同步机制，因此需要手动补充角色查询与注入逻辑。

解决方法 #

方法1：使用 ClaimsTransformation 中间件注入角色 #

在 .NET 8 项目的 Program.cs 中，添加自定义的 Claims 转换逻辑，从原 SimpleMembership 数据库查询当前用户的角色并注入到 ClaimsPrincipal：

builder.Services.AddTransient<IClaimsTransformation, RoleClaimsTransformation>();

// 自定义Claims转换类
public class RoleClaimsTransformation : IClaimsTransformation
{
    private readonly YourDbContext _dbContext; // 替换为连接原SimpleMembership数据库的上下文

    public RoleClaimsTransformation(YourDbContext dbContext)
    {
        _dbContext = dbContext;
    }

    public async Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        if (!principal.Identity.IsAuthenticated)
        {
            return principal;
        }

        var userName = principal.Identity.Name;
        if (string.IsNullOrEmpty(userName))
        {
            return principal;
        }

        // 查询用户所属角色（对应SimpleMembership的webpages_UsersInRoles和webpages_Roles表）
        var roles = await _dbContext.webpages_UsersInRoles
            .Where(uir => uir.User.UserName == userName)
            .Select(uir => uir.Role.RoleName)
            .ToListAsync();

        var identity = principal.Identity as ClaimsIdentity;
        foreach (var role in roles)
        {
            // 添加符合规范的角色Claim
            identity.AddClaim(new Claim(ClaimTypes.Role, role));
        }

        return principal;
    }
}

方法2：扩展 SystemWebAdapters 的用户标识处理 #

在配置 SystemWebAdapters 时，通过 ConfigureRemoteAuthentication 直接扩展用户标识的 Claims：

builder.Services.AddSystemWebAdapters()
    .AddRemoteAppServer(options =>
    {
        options.Authentication = new RemoteAuthenticationOptions
        {
            // 保留原有认证配置
            UserClaimsPrincipalFactory = async (context, remoteUser) =>
            {
                var principal = new ClaimsPrincipal(remoteUser.Identity);
                var userName = remoteUser.Identity.Name;

                // 实现数据库查询逻辑获取用户角色
                var roles = await GetUserRoles(userName);

                var identity = principal.Identity as ClaimsIdentity;
                foreach (var role in roles)
                {
                    identity.AddClaim(new Claim(ClaimTypes.Role, role));
                }

                return principal;
            }
        };
    });

// 单独实现角色查询方法
private async Task<List<string>> GetUserRoles(string userName)
{
    using var dbContext = new YourDbContext(); // 替换为实际上下文
    return await dbContext.webpages_UsersInRoles
        .Where(uir => uir.User.UserName == userName)
        .Select(uir => uir.Role.RoleName)
        .ToListAsync();
}

关键注意事项 #

• 确保数据库上下文能正确连接原 .NET Framework 项目的 SimpleMembership 数据库，实体类需匹配 webpages_Users、webpages_Roles、webpages_UsersInRoles 的表结构。
• 角色 Claim 的类型必须为 ClaimTypes.Role（对应 URI：http://schemas.microsoft.com/ws/2008/06/identity/claims/role），否则 [Authorize(Roles)] 特性无法识别。
• 若原项目使用了自定义角色 Claim 类型，需同步修改 .NET 8 端的 Claim 类型以匹配。

内容的提问来源于stack exchange，提问作者Kyle Fuller