JWT部分声明未映射到用户身份的解决方法咨询

针对你遇到的JWT声明（sub、名称、角色等）未同步到控制器用户身份中的问题，可通过以下步骤排查解决：

1. 启用授权服务并关闭默认声明映射 #

你的原始配置中注释了AddAuthorization()，这会导致授权中间件无法正确处理用户声明；同时.NET Core默认会将JWT声明映射到标准ClaimTypes（比如sub被映射为NameIdentifier），导致你无法通过原始键名获取声明。修改配置如下：

builder.Services
  .AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
  .AddJwtBearer(opt =>
  {
    opt.Authority = "https://sts.windows.net/a2728528-...-7d900c45d9ba/";
    opt.MapInboundClaims = false; // 关闭默认声明映射，保留JWT原始键名
    opt.TokenValidationParameters = new TokenValidationParameters
    {
      ValidateAudience = false,
      ValidateLifetime = false,
      NameClaimType = "sub", // 指定用户标识声明的键
      RoleClaimType = "role" // 注意：如果是Azure AD Token，角色声明键通常是"roles"，需根据实际调整
    };
  });

builder.Services.AddAuthorization(); // 必须启用授权服务，否则声明无法被正确加载

2. 验证Token实际包含的声明 #

使用JWT解析工具检查Token的Payload，确认sub、name、role等声明确实存在，且键名与配置中的NameClaimType、RoleClaimType一致。比如Azure AD返回的Token中，角色声明键为roles而非role，需对应调整配置。

3. 自定义声明转换（兜底方案） #

如果上述配置仍未解决问题，可通过自定义IClaimsTransformation手动同步声明：

// 注册自定义声明转换器
builder.Services.AddTransient<IClaimsTransformation, CustomClaimsTransformer>();

public class CustomClaimsTransformer : IClaimsTransformation
{
  public Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
  {
    var identity = principal.Identity as ClaimsIdentity;
    if (identity == null) return Task.FromResult(principal);

    // 检查并添加缺失的sub声明
    if (identity.FindFirst("sub") == null)
    {
      // 若默认映射未关闭，可从NameIdentifier获取原始sub值
      var subValue = identity.FindFirst(System.Security.Claims.ClaimTypes.NameIdentifier)?.Value;
      if (!string.IsNullOrEmpty(subValue))
      {
        identity.AddClaim(new Claim("sub", subValue));
      }
    }

    // 同理添加name、role等其他缺失声明
    if (identity.FindFirst("name") == null)
    {
      var nameValue = identity.FindFirst(System.Security.Claims.ClaimTypes.Name)?.Value;
      if (!string.IsNullOrEmpty(nameValue))
      {
        identity.AddClaim(new Claim("name", nameValue));
      }
    }

    return Task.FromResult(principal);
  }
}

关键注意事项 #

• 确保app.UseAuthentication()和app.UseAuthorization()的顺序正确，前者必须在后者之前。
• 若使用Azure AD，可开启opt.TokenValidationParameters.ValidateIssuer = true并指定ValidIssuer，避免无效Token干扰声明解析。

内容的提问来源于stack exchange，提问作者Konrad Viltersten