Razor Pages基于角色的集中授权配置失效求助（AAD环境）

针对你遇到的配置文件夹授权策略后，无权限用户仍可访问页面的问题，可按以下步骤排查解决：

1. 核查文件夹路径与页面豁免设置 #

Razor Pages默认根目录为/Pages，需确认你要保护的页面都在该目录下；若存在子文件夹（如/Pages/Admin），需单独配置对应文件夹的授权规则。同时检查所有页面是否添加了[AllowAnonymous]属性，该属性会直接覆盖文件夹级别的授权限制。

2. 验证用户Claims中的角色是否正确加载 #

由于使用AAD认证，需确保用户的角色Claim已正确传递到应用中。可在任意Razor页面添加以下代码，打印当前用户的所有Claims，确认是否包含Goofball角色：

@foreach (var claim in User.Claims)
{
    <p>@claim.Type: @claim.Value</p>
}

如果未找到角色Claim，需调整Microsoft Identity的配置，确保角色Claim映射正确：

builder.Services.AddMicrosoftIdentityWebAppAuthentication(builder.Configuration);

// 配置角色Claim的映射类型
builder.Services.Configure<OpenIdConnectOptions>(OpenIdConnectDefaults.AuthenticationScheme, options =>
{
    options.TokenValidationParameters.RoleClaimType = "roles";
});

3. 简化配置排查策略问题 #

暂时跳过自定义策略，直接使用角色授权文件夹，验证是否生效：

builder.Services.AddRazorPages(options =>
{
    options.Conventions.AuthorizeFolder("/Pages", "Goofball");
});

若此配置生效，说明自定义策略的逻辑存在问题；若仍不生效，问题则出在文件夹授权逻辑或认证环节。

4. 检查中间件顺序是否正确 #

确保UseAuthorization中间件的位置符合要求，必须放在UseRouting之后、UseEndpoints之前：

app.UseRouting();

app.UseAuthentication();
app.UseAuthorization(); // 此位置不可调换

app.UseEndpoints(endpoints =>
{
    endpoints.MapRazorPages();
});

5. 确认AAD应用角色的配置有效性 #

虽然你提到修改AAD流程繁琐，但需确认Goofball角色已在AAD应用注册的「应用角色」中定义，且目标用户/组已被分配该角色。若角色未正确配置，用户Claims中不会包含该角色信息，授权规则自然无法生效。

内容的提问来源于stack exchange，提问作者USMC6072