Azure托管身份JWT无法用于HotChocolate授权问题

核心差异原因 #

• 声明验证逻辑不同：ASP.NET Core的[Authorize]默认仅验证JWT的有效性（签名、过期、受众等），而HotChocolate的[Authorize]默认会检查用户身份的核心声明（如sub或nameidentifier）。托管身份的JWT属于应用身份，通常不包含这些用户类声明，导致HotChocolate判定身份无效。
• 授权策略未对齐：HotChocolate拥有独立的授权系统，默认不会自动继承ASP.NET Core MVC的授权策略。如果控制器使用了自定义的应用身份策略，但GraphQL解析器的[Authorize]未指定对应策略，就会出现权限不匹配。
• 身份验证方案未显式配置：HotChocolate需要显式指定使用的身份验证方案（如Azure AD的JwtBearer），否则可能无法正确识别托管身份的JWT。而MVC控制器会自动使用默认配置的身份验证方案。

具体解决步骤 #

1. 对齐授权策略 #

在Program.cs中配置HotChocolate时，显式定义适配托管身份的授权策略，并让GraphQL解析器使用该策略：

builder.Services.AddGraphQLServer()
    .AddAuthorization(options =>
    {
        // 定义适配应用身份的策略，验证aud（受众）或azp（客户端ID）声明
        options.AddPolicy("AppIdentityPolicy", policy =>
        {
            policy.RequireClaim("aud", "你的API客户端ID");
            // 可选：验证托管身份的客户端ID
            // policy.RequireClaim("azp", "托管身份的客户端ID");
        });
    })
    .AddQueryType<Query>()
    .AddMutationType<Mutation>();

然后在解析器上指定该策略：

[Authorize(Policy = "AppIdentityPolicy")]
public async Task<SomeResult> GetProtectedData()
{
    // 业务逻辑
}

2. 显式指定身份验证方案 #

如果系统配置了多个身份验证方案，需要让HotChocolate明确使用Azure AD的JWT方案：

builder.Services.AddGraphQLServer()
    .AddAuthorization(options =>
    {
        options.DefaultPolicy = new AuthorizationPolicyBuilder()
            .AddAuthenticationSchemes(JwtBearerDefaults.AuthenticationScheme)
            .RequireAuthenticatedUser()
            .Build();
    })
    // 其他GraphQL配置...

3. 自定义用户标识符提供者（可选） #

如果HotChocolate因缺少sub声明拒绝授权，可以自定义IUserIdentifierProvider，改用应用身份的声明（如azp）作为标识符：

public class AppIdentityUserIdentifierProvider : IUserIdentifierProvider
{
    public string? GetIdentifier(ClaimsPrincipal principal)
    {
        // 使用azp（客户端ID）作为身份标识符
        return principal.FindFirstValue("azp");
    }
}

// 注册到服务容器
builder.Services.AddSingleton<IUserIdentifierProvider, AppIdentityUserIdentifierProvider>();

4. 调试声明差异 #

可以在解析器中打印当前用户的声明，对比用户JWT和托管身份JWT的差异，定位缺失的关键声明：

public async Task<SomeResult> GetProtectedData([GlobalState] ClaimsPrincipal user)
{
    var claims = user.Claims.Select(c => $"{c.Type}: {c.Value}").ToList();
    // 输出或记录claims，分析差异
    // ...
}

内容的提问来源于stack exchange，提问作者Michel Fornaris