为用户添加角色时Role Claim未生成问题（JwtAuthentication）

核心问题定位 #

你的问题本质是JWT令牌生成时未将用户的角色声明写入令牌，导致授权时User.Claims中无角色信息，触发403禁止访问。以下是针对性的排查和解决步骤：

1. 检查JWT令牌生成逻辑（最关键） #

确保在生成JWT的代码中，从UserManager获取用户角色并添加到Claims集合：

var user = await _userManager.FindByNameAsync(username);
var userRoles = await _userManager.GetRolesAsync(user);

// 基础声明
var authClaims = new List<Claim>
{
    new Claim(ClaimTypes.Name, user.UserName),
    new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString()),
};

// 遍历添加角色声明
foreach (var role in userRoles)
{
    authClaims.Add(new Claim(ClaimTypes.Role, role));
}

// 生成令牌
var token = new JwtSecurityToken(
    issuer: Configuration["JWT:Issuer"],
    audience: Configuration["JWT:Audience"],
    expires: DateTime.Now.AddHours(3),
    claims: authClaims,
    signingCredentials: new SigningCredentials(
        new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["JWT:Secret"])),
        SecurityAlgorithms.HmacSha256Signature
    )
);

注意：必须使用ClaimTypes.Role作为角色声明的类型，否则[Authorize(Roles)]特性无法识别。

2. 验证JWT认证配置 #

确保在Program.cs的JWT配置中，明确指定角色声明类型（默认是ClaimTypes.Role，但自定义过配置需检查）：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = Configuration["JWT:Issuer"],
            ValidAudience = Configuration["JWT:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(Configuration["JWT:Secret"])),
            // 明确绑定角色声明类型
            RoleClaimType = ClaimTypes.Role
        };
    });

3. 检查自定义UserClaimsPrincipalFactory（若使用） #

如果你自定义了用户Claims工厂，需确保它正确包含角色声明：

public class CustomUserClaimsFactory : UserClaimsPrincipalFactory<ApplicationUser, IdentityRole>
{
    public CustomUserClaimsFactory(UserManager<ApplicationUser> userManager, 
        RoleManager<IdentityRole> roleManager, IOptions<IdentityOptions> options)
        : base(userManager, roleManager, options) { }

    protected override async Task<ClaimsIdentity> GenerateClaimsAsync(ApplicationUser user)
    {
        var identity = await base.GenerateClaimsAsync(user);
        var roles = await UserManager.GetRolesAsync(user);
        
        foreach (var role in roles)
        {
            identity.AddClaim(new Claim(ClaimTypes.Role, role));
        }
        return identity;
    }
}

并在Program.cs中注册：

services.AddScoped<IUserClaimsPrincipalFactory<ApplicationUser>, CustomUserClaimsFactory>();

注意：该工厂主要影响Cookie认证场景，JWT场景下优先保证令牌生成时已包含角色声明。

4. 验证令牌内容 #

生成JWT后，通过控制台输出或解码工具检查Claims中是否存在"role": "Moderator"。如果没有，说明令牌生成逻辑存在遗漏，回到第一步排查。

5. 确认中间件顺序 #

确保Program.cs中中间件顺序正确：

app.UseAuthentication(); // 先执行认证
app.UseAuthorization();  // 再执行授权

顺序颠倒会导致授权时无法识别用户身份和角色。

6. 检查角色名称大小写 #

数据库中角色名称Moderator与[Authorize(Roles="Moderator")]的大小写必须完全匹配，ASP.NET Core角色授权默认区分大小写。

内容的提问来源于stack exchange，提问作者Alexander Luettig