.NET Core中ForgeRock JWT角色授权失败问题排查

根本原因 #

你的JwTFilter仅完成了JWT令牌的验证逻辑，但没有将验证通过后的用户身份（包含角色声明）赋值给context.HttpContext.User。
.NET Core的[Authorize(Roles)]特性依赖HttpContext.User这个ClaimsPrincipal对象来校验用户角色，当该对象未被正确初始化时，授权逻辑会判定用户无对应角色，直接返回未授权。

修复步骤 #

需要在过滤器中把验证后的用户声明构建为ClaimsPrincipal并绑定到HttpContext.User，同时补全验证失败时的错误返回逻辑。

修改后的JwTFilter代码 #

public class JwTFilter : Attribute, IAsyncAuthorizationFilter
{
    private readonly IAuthService _authService;

    public JwTFilter(IAuthService authHandler)
    {
        this._authService = authHandler;
    }

    async Task IAsyncAuthorizationFilter.OnAuthorizationAsync(AuthorizationFilterContext context)
    {
        var stopwatch = Stopwatch.StartNew();
        context.HttpContext.Request.Headers.TryGetValue("Authorization", out var authorizationHeader);

        // 缺失Authorization头的情况
        if (string.IsNullOrWhiteSpace(authorizationHeader))
        {
            context.Result = new UnauthorizedResult();
            stopwatch.Stop();
            return;
        }

        AuthenticationHeaderValue authHeader;
        try
        {
            authHeader = AuthenticationHeaderValue.Parse(authorizationHeader);
        }
        catch
        {
            context.Result = new UnauthorizedResult();
            stopwatch.Stop();
            return;
        }

        // 校验Bearer认证方案
        if (!authHeader.Scheme.Equals("Bearer", StringComparison.OrdinalIgnoreCase))
        {
            context.Result = new UnauthorizedResult();
            stopwatch.Stop();
            return;
        }

        // 缺失令牌参数的情况
        if (string.IsNullOrWhiteSpace(authHeader.Parameter))
        {
            context.Result = new UnauthorizedResult();
            stopwatch.Stop();
            return;
        }

        var claimsPrincipal = await _authService.ValidateAndBuildUserCalims(authHeader.Parameter);
        // 令牌验证失败
        if (claimsPrincipal == null)
        {
            context.Result = new UnauthorizedResult();
            stopwatch.Stop();
            return;
        }

        // 将验证通过的用户身份绑定到HttpContext，供[Authorize]校验使用
        context.HttpContext.User = claimsPrincipal;

        stopwatch.Stop();
        return;
    }
}

关键补充说明 #

确保_authService.ValidateAndBuildUserCalims方法返回的ClaimsPrincipal包含正确格式的角色声明：

// 示例：在ValidateAndBuildUserCalims中构建ClaimsPrincipal
var claims = new List<Claim>
{
    new Claim(ClaimTypes.Name, "test-user"),
    // 角色声明必须使用ClaimTypes.Role类型，否则[Authorize(Roles)]无法识别
    new Claim(ClaimTypes.Role, RolesConstant.Manager)
};
var identity = new ClaimsIdentity(claims, "JwtAuthentication");
return new ClaimsPrincipal(identity);

如果你的角色声明类型不是ClaimTypes.Role，需要在[Authorize]特性中显式指定RoleClaimType，或者在全局配置中设置默认角色声明类型。

内容的提问来源于stack exchange，提问作者Niranjan