Blazor项目中使用Individual Authentication实现角色授权异常问题

问题核心原因 #

你遇到的问题本质是：用户Claims中存在角色信息，但IsInRole()方法和[Authorize(Roles)]属性无法识别这些角色——这是因为.NET Identity默认使用的角色声明类型是http://schemas.microsoft.com/ws/2008/06/identity/claims/role（对应ClaimTypes.Role），如果你的角色声明Type不是这个标准值，就会导致授权逻辑无法匹配。

从你的代码输出来看，虽然能打印出角色Claims，但这些Claims的Type大概率不是标准的角色声明类型（比如可能是role或自定义字符串），因此IsInRole和授权组件无法正常识别。

解决方案 #

方案1：服务器端修正角色声明输出 #

如果是Blazor WebAssembly + ASP.NET Core Identity服务器架构，需要确保生成JWT令牌时，角色声明使用标准类型：

1.1 配置Identity Server（若使用）

在服务器项目的Program.cs中添加角色声明映射：

builder.Services.AddIdentityServer()
    .AddApiAuthorization<ApplicationUser, ApplicationDbContext>(options =>
    {
        // 将角色声明加入Identity和API资源的用户声明列表
        options.IdentityResources["openid"].UserClaims.Add(ClaimTypes.Role);
        options.ApiResources.Single().UserClaims.Add(ClaimTypes.Role);
    });

// 配置JWT验证时使用标准角色声明类型
builder.Services.Configure<JwtBearerOptions>(JwtBearerDefaults.AuthenticationScheme, options =>
{
    options.TokenValidationParameters.RoleClaimType = ClaimTypes.Role;
});

1.2 自定义用户Claims生成（若需手动添加）

如果是手动生成用户Claims，确保角色声明使用ClaimTypes.Role：

// 在服务器的UserClaimsPrincipalFactory或相关逻辑中
var claims = new List<Claim>
{
    new Claim(ClaimTypes.Name, user.UserName),
    // 使用标准角色声明类型
    new Claim(ClaimTypes.Role, "SuperAdmin"),
    new Claim(ClaimTypes.Role, "Basic")
};

方案2：客户端映射声明类型 #

如果无法修改服务器端配置，可以在客户端自定义AuthenticationStateProvider来映射角色声明类型：

// 客户端Program.cs中注册自定义Provider
builder.Services.AddScoped<AuthenticationStateProvider, CustomAuthStateProvider>();

// 自定义AuthenticationStateProvider实现
public class CustomAuthStateProvider : ApiAuthorizationProvider
{
    public CustomAuthStateProvider(IAccessTokenProvider accessTokenProvider, 
        NavigationManager navigationManager, ILoggerFactory loggerFactory) 
        : base(accessTokenProvider, navigationManager, loggerFactory)
    {
    }

    protected override async Task<ClaimsPrincipal> GetUserAsync(AccessToken accessToken)
    {
        var principal = await base.GetUserAsync(accessToken);
        if (principal.Identity.IsAuthenticated)
        {
            var identity = principal.Identity as ClaimsIdentity;
            // 将非标准的角色声明（比如Type为"role"）映射为标准Role类型
            var roleClaims = identity.FindAll("role");
            foreach (var roleClaim in roleClaims)
            {
                identity.AddClaim(new Claim(ClaimTypes.Role, roleClaim.Value));
            }
        }
        return principal;
    }
}

方案3：直接修改授权逻辑的角色声明类型 #

在客户端Program.cs中，配置授权系统使用你的角色声明类型：

builder.Services.AddAuthorizationCore(options =>
{
    // 全局设置授权逻辑使用的角色声明类型（替换为你实际的角色Type）
    options.ClaimTypeMap[ClaimTypes.Role] = "role";
});

验证方法 #

修改完成后重新登录用户，调用GetClaimsPrincipalData方法，检查角色Claims的Type是否为http://schemas.microsoft.com/ws/2008/06/identity/claims/role，此时IsInRole("SuperAdmin")应返回true，[Authorize(Roles = "SuperAdmin")]也能正常生效。

内容的提问来源于stack exchange，提问作者Enrico