Blazor客户端应用中Identity用户角色设置异常问题

你在客户端手动添加的Role Claim仅存在于客户端内存的AuthenticationState中，并未同步到OIDC身份令牌（Token）内。服务器端的HttpContext.User是从每次请求携带的OIDC Token解析而来的，Token里没有Role Claim，自然服务器端无法获取到该角色信息。

1. 标准解决方案：让OIDC Token包含角色Claims #

这是最可靠的做法，所有角色校验都应基于授权服务器颁发的Token：

• 若使用IdentityServer等OIDC授权服务器，确保在用户的Claims集合中添加ClaimTypes.Role类型的Claim，或者在ApiResource/Client配置中完成角色Claim的映射配置。
• 登录成功后，Token会自动携带角色信息，服务器端解析Token时就能直接获取到Role Claim，不管是使用内置的[Authorize(Roles = "Admin")]还是自定义过滤器都能正常工作。

2. 客户端自定义角色的适配方式（仅适用于特殊场景） #

如果必须在客户端从后端接口获取角色后添加，需要自定义AuthenticationStateProvider，同时注意不同Blazor模式的差异：

Blazor WebAssembly #

• 自定义AuthenticationStateProvider，在获取用户信息后添加Role Claim，然后调用NotifyAuthenticationStateChanged通知客户端更新状态。
• 注意：服务器端API的身份校验依然依赖Token，若需要服务器端识别该角色，要么确保Token中包含角色信息，要么在API端通过其他方式（比如查询数据库获取用户角色）完成校验。

Blazor Server #

• Blazor Server的HttpContext.User是在SignalR连接建立时初始化的，后续不会自动更新。若在客户端添加了角色，需要重新建立连接（比如重新登录）才能让服务器端获取到更新后的Claims。
• 不推荐在客户端手动添加角色，更可靠的方式是刷新Token，让授权服务器返回包含角色的新Token后重新登录。

1. 放弃手动修改AuthenticationState的方式，改用授权服务器颁发包含角色的Token。
2. 自定义过滤器可简化实现，直接使用内置的AuthorizationService，无需手动解析HttpContext.User：

public class RoleAuthorizationFilter : Attribute, IAsyncAuthorizationFilter
{
    private readonly string _requiredRole;

    public RoleAuthorizationFilter(string requiredRole)
    {
        _requiredRole = requiredRole;
    }

    public async Task OnAuthorizationAsync(AuthorizationFilterContext context)
    {
        var authorizationService = context.HttpContext.RequestServices.GetRequiredService<IAuthorizationService>();
        var user = context.HttpContext.User;

        if (!user.Identity.IsAuthenticated)
        {
            context.Result = new RedirectToRouteResult("login", null);
            return;
        }

        var result = await authorizationService.AuthorizeAsync(user, null, new RolesAuthorizationRequirement(new[] { _requiredRole }));
        if (!result.Succeeded)
        {
            context.Result = new ForbidResult();
            return;
        }
    }
}

3. 优先使用Blazor内置的[Authorize(Roles = "Admin")]属性，无需自定义过滤器，实现更简洁可靠。

内容的提问来源于stack exchange，提问作者Coder