ASP.NET Core Identity基于角色的声明认证失效问题排查

核心问题 #

ASP.NET Core Identity默认不会自动将角色关联的声明同步到用户的ClaimsPrincipal身份对象中。即使你的用户所属角色在AspNetRoleClaims表中拥有CreateRole声明，当前请求的用户身份里也不会包含该声明，导致CreateRolePolicy授权验证失败，返回403。

解决步骤 #

1. 自定义UserClaimsPrincipalFactory注入角色声明 #

创建自定义工厂类，将用户所属角色的所有声明添加到用户身份中：

public class CustomUserClaimsPrincipalFactory : UserClaimsPrincipalFactory<IdentityUser, IdentityRole>
{
    private readonly RoleManager<IdentityRole> _roleManager;

    public CustomUserClaimsPrincipalFactory(
        UserManager<IdentityUser> userManager,
        RoleManager<IdentityRole> roleManager,
        IOptions<IdentityOptions> optionsAccessor)
        : base(userManager, roleManager, optionsAccessor)
    {
        _roleManager = roleManager;
    }

    protected override async Task<ClaimsIdentity> GenerateClaimsAsync(IdentityUser user)
    {
        var identity = await base.GenerateClaimsAsync(user);
        var userRoles = await UserManager.GetRolesAsync(user);

        foreach (var roleName in userRoles)
        {
            var role = await _roleManager.FindByNameAsync(roleName);
            var roleClaims = await _roleManager.GetClaimsAsync(role);
            
            foreach (var claim in roleClaims)
            {
                if (!identity.HasClaim(claim.Type, claim.Value))
                {
                    identity.AddClaim(claim);
                }
            }
        }

        return identity;
    }
}

在Program.cs中注册该工厂：

builder.Services.AddScoped<IUserClaimsPrincipalFactory<IdentityUser>, CustomUserClaimsPrincipalFactory>();

2. 验证角色声明的存储正确性 #

检查AspNetRoleClaims表中对应角色的记录：

• ClaimType必须严格等于CreateRole（和你在授权策略中定义的一致）
• ClaimValue必须匹配策略要求的值（你的代码中是Create Role）

3. 调试确认用户身份声明 #

在控制器中临时添加调试代码，查看当前用户的所有声明，确认CreateRole是否存在：

[Authorize(Policy = "CreateRolePolicy")]
[HttpPost("[action]")]
public async Task<IActionResult> CreateRole(RoleCreateRequestModel model)
{
    // 调试输出当前用户的所有声明
    foreach (var claim in User.Claims)
    {
        Console.WriteLine($"{claim.Type}: {claim.Value}");
    }
    
    var result = await _roleManagementService.CreateRole(model);
    return result.Succeeded ? Ok(result) : BadRequest(result);
}

如果控制台输出中没有CreateRole声明，说明角色声明未被正确注入，回到步骤1确认自定义工厂的注册和实现是否正确。

内容的提问来源于stack exchange，提问作者Masha