AuthorizationPolicy的.RequireRole()方法失效问题排查求助

授权策略未按预期工作，尽管所有条件都已满足，但它始终判定为false。尝试过多种方式定义角色声明类型名称（如"role"、"roles"、ClaimTypes.Role），但均无效果，现请求协助明确进一步调试方向。

Program.cs #

builder.Services.AddMsalAuthentication(options =>
{
    builder.Configuration.Bind("EntraExternalIdentities", options.ProviderOptions);
    // options.UserOptions.RoleClaim = "role";
    // options.UserOptions.RoleClaim = "roles";
    // options.UserOptions.RoleClaim = ClaimTypes.Role;
});

builder.Services.AddCascadingAuthenticationState();

builder.Services.AddAuthorizationCore(opt =>
{
    opt.AddPolicy("meh", policyBuilder => policyBuilder
            .RequireAuthenticatedUser()
            .RequireRole("admin")
            .Build());
});

View.razor #

<AuthorizeView Policy="meh">
    <Authorized>
        <p>You are authenticated= @context.User.Identity.IsAuthenticated</p>
        <p>You ARE authorized.</p>
        <p>Hello, @context.User.Identity?.Name!</p>
        <pre>roles= @context.User.Claims.Single(s => s.Type == "roles").Value</pre>
    </Authorized>
    <NotAuthorized>
        <p>You are authenticated= @context.User.Identity.IsAuthenticated</p>
        <p>You're not authorized.</p>
        <p>Hello, @context.User.Identity?.Name!</p>
        <pre>roles= @context.User.Claims.Single(s => s.Type == "roles").Value</pre>
    </NotAuthorized>
</AuthorizeView>

Edge开发者工具控制台输出 #

Microsoft.AspNetCore.Authorization.DefaultAuthorizationService[2] Authorization failed. These requirements were not met:RolesAuthorizationRequirement:User.IsInRole must be true for one of the following roles: (admin)

注：用户可通过页面看到当前用户的roles声明，但授权仍失败。

调试方向建议 #

• 确认角色声明格式：检查roles claim的值是单个字符串还是逗号分隔的多角色。ASP.NET Core默认不会自动拆分逗号分隔的角色，需手动处理。
• 启用正确的RoleClaim配置：取消options.UserOptions.RoleClaim = "roles";的注释，确保与实际声明类型匹配。
• 验证IsInRole行为：在View中添加@context.User.IsInRole("admin")输出，确认该方法是否返回false，定位是声明识别还是策略逻辑问题。
• 查看完整Claims集合：输出所有Claims的Type和Value，确认是否存在冲突声明或格式错误，示例代码：

  <pre>@string.Join("\n", context.User.Claims.Select(c => $"{c.Type}: {c.Value}"))</pre>
  

• 自定义角色转换：如果默认解析失效，添加ClaimsTransformation手动提取角色，示例代码：

  builder.Services.AddScoped<IClaimsTransformation, ClaimsTransformer>();
  
  public class ClaimsTransformer : IClaimsTransformation
  {
      public Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
      {
          var identity = principal.Identity as ClaimsIdentity;
          var rolesClaim = identity?.FindFirst("roles");
          if (rolesClaim != null && !string.IsNullOrWhiteSpace(rolesClaim.Value))
          {
              foreach (var role in rolesClaim.Value.Split(',').Select(r => r.Trim()))
              {
                  identity.AddClaim(new Claim(ClaimTypes.Role, role));
              }
          }
          return Task.FromResult(principal);
      }
  }
  

• 检查角色名称大小写：确保RequireRole("admin")中的角色名称与Claims中的值完全一致（大小写敏感）。

内容的提问来源于stack exchange，提问作者baouss