ASP.NET Core中如何从数组形式的JWT Claims提取角色

问题根源 #

1. 扩展方法错误：你的ClaimRoles扩展方法中调用了不存在的Claims(RoleClaimType)方法，ClaimsPrincipal没有这个重载，应该使用FindAll来获取指定类型的所有声明。
2. JWT数组声明解析问题：你的JWT payload中角色是以JSON数组形式存储的，但默认的JwtSecurityTokenHandler不会自动将数组拆分为多个Claim，导致无法正确提取角色列表。

修复步骤 #

1. 修正角色提取扩展方法 #

将扩展方法修改为正确获取声明并提取值的版本：

public static List<string>? ClaimRoles(this ClaimsPrincipal claimsPrincipal)
{
    const string RoleClaimType = "http://schemas.microsoft.com/ws/2008/06/identity/claims/role";
    return claimsPrincipal?.FindAll(RoleClaimType)?
                           .Select(claim => claim.Value)
                           .ToList();
}

2. 处理JWT数组格式的角色声明 #

有两种方案可选：

方案A：修改JWT生成逻辑（推荐）

如果能控制JWT的生成端，直接添加多个角色声明，而不是用数组存储：

// 生成JWT时添加角色声明
var claims = new List<Claim>
{
    new Claim(ClaimTypes.NameIdentifier, "1"),
    new Claim(ClaimTypes.Email, "tunahan.ali.ozturk@outlook.com"),
    new Claim(ClaimTypes.Name, "Tunahan Ozturk"),
    // 每个角色单独添加一个Claim
    new Claim(ClaimTypes.Role, "agents.admin"),
    new Claim(ClaimTypes.Role, "users.admin")
};

// 后续生成JWT的逻辑不变

这样生成的JWT payload中会包含两个独立的role声明，默认的JWT处理器就能正确识别。

方案B：自定义JWT处理器解析数组声明

如果无法修改JWT生成端，需要在ASP.NET Core中配置自定义的JwtSecurityTokenHandler来解析数组格式的角色：

首先创建自定义处理器：

public class CustomJwtSecurityTokenHandler : JwtSecurityTokenHandler
{
    protected override ClaimsPrincipal ValidateToken(string token, TokenValidationParameters validationParameters, out SecurityToken validatedToken)
    {
        var principal = base.ValidateToken(token, validationParameters, out validatedToken);
        var processedClaims = new List<Claim>();

        foreach (var claim in principal.Claims)
        {
            // 判断是否是数组格式的角色声明
            if (claim.Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/role" 
                && claim.Value.StartsWith("[") 
                && claim.Value.EndsWith("]"))
            {
                // 解析JSON数组为角色列表
                var roles = System.Text.Json.JsonSerializer.Deserialize<List<string>>(claim.Value);
                if (roles != null)
                {
                    processedClaims.AddRange(roles.Select(role => new Claim(claim.Type, role)));
                }
            }
            else
            {
                processedClaims.Add(claim);
            }
        }

        // 重新构建ClaimsPrincipal
        var newIdentity = new ClaimsIdentity(processedClaims, principal.Identity.AuthenticationType);
        return new ClaimsPrincipal(newIdentity);
    }
}

然后在Program.cs中配置JWT认证时使用这个自定义处理器：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = "doing@doing.com",
            ValidAudience = "doing@doing.com",
            IssuerSigningKey = new SymmetricSecurityKey(System.Text.Encoding.UTF8.GetBytes("你的密钥字符串"))
        };

        // 替换默认的处理器为自定义版本
        options.SecurityTokenValidators.Clear();
        options.SecurityTokenValidators.Add(new CustomJwtSecurityTokenHandler());
    });

3. 优化中间件中的权限判断逻辑 #

原判断逻辑可以简化，避免空引用风险：

public async Task<TResponse> Handle(TRequest request, RequestHandlerDelegate<TResponse> next, CancellationToken cancellationToken)
{
    List<string>? roleClaims = httpContextAccessor.HttpContext.User.ClaimRoles();

    if (roleClaims == null || !roleClaims.Any()) 
        throw new AuthorizationException("Claims not found.");

    // 检查是否有匹配的角色
    bool hasMatchingRole = roleClaims.Intersect(request.Roles).Any();
    if (!hasMatchingRole) 
        throw new AuthorizationException("You are not authorized.");

    return await next();
}

内容的提问来源于stack exchange，提问作者moongazing