.NET 6中基于角色的授权失效问题排查请求

1. 替换错误的授权属性 #

你当前使用的System.Web.Http.Authorize是旧ASP.NET框架（非Core）的授权属性，在.NET 6的ASP.NET Core项目中完全不生效，这是导致非Admin角色用户能访问控制器的核心原因。

直接替换为ASP.NET Core专用的授权属性：

using Microsoft.AspNetCore.Authorization;

[Authorize(Roles = UserRoles.Admin)]
[ApiController]
[Route("api/[controller]")]
public class StudentsController : ControllerBase
{
    // 控制器逻辑
}

2. 修复IsInRole返回false的问题 #

这个问题通常和JWT令牌的角色声明配置有关，按以下步骤排查：

验证令牌是否包含角色信息 #

用JWT解析工具解码你的令牌，查看payload中是否存在类似"roles": ["Admin"]的声明。如果没有，需要在生成JWT时添加角色声明：

var claims = new List<Claim>
{
    new Claim(ClaimTypes.Name, user.UserName),
    // 单个角色
    new Claim(ClaimTypes.Role, UserRoles.Admin),
    // 多角色循环添加
    // foreach (var role in user.Roles) claims.Add(new Claim(ClaimTypes.Role, role.Name));
};

配置身份验证的角色映射 #

在Program.cs的JWT验证配置中，确保角色声明类型被正确识别：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            // 其他验证参数...
            RoleClaimType = ClaimTypes.Role
        };
    });

3. 确认中间件顺序 #

Program.cs中必须先启用身份验证，再启用授权，否则授权逻辑无法获取用户身份信息：

app.UseAuthentication(); // 先执行身份验证
app.UseAuthorization();  // 再执行授权校验

app.MapControllers();

4. 检查角色常量一致性 #

确保UserRoles.Admin的常量值和令牌中的角色值完全一致（大小写敏感）：

public static class UserRoles
{
    public const string Admin = "Admin"; // 令牌中的角色必须和此值完全匹配
}

内容的提问来源于stack exchange，提问作者mordor619