指定用户已有Role时JWT的[Authorize]验证失败问题排查

你遇到的403错误是因为JWT验证配置中的角色声明类型与生成Token时使用的角色声明类型不匹配，导致ASP.NET Core的授权系统无法正确识别用户的角色。

问题根源 #

在Startup的JWT配置中，你设置了：

RoleClaimType = "role"

但生成Token时，你使用的是ClaimTypes.Role，这个常量对应的实际值是http://schemas.microsoft.com/ws/2008/06/identity/claims/role，和配置里的"role"完全不一致。授权系统用配置的RoleClaimType去Token里找角色，自然找不到，所以返回403。

解决方案（二选一即可） #

方案1：修改Startup的RoleClaimType为ClaimTypes.Role

将TokenValidationParameters中的RoleClaimType替换为ClaimTypes.Role，同时建议同步修改NameClaimType，保持声明类型的一致性：

options.TokenValidationParameters = new TokenValidationParameters
{
    ValidateIssuer = true,
    ValidateAudience = false,
    ValidateLifetime = true,
    ValidateIssuerSigningKey = true,
    ValidIssuer = builder.Configuration["Jwt:Issuer"],
    RoleClaimType = ClaimTypes.Role, // 修改此处
    NameClaimType = ClaimTypes.Name, // 同步修改此处
    IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
};

方案2：生成Token时使用"role"作为声明类型

修改GenerateToken方法中的角色声明，直接使用字符串"role"替代ClaimTypes.Role：

var claims = new[]
{
    new Claim(ClaimTypes.Name, userAttributes.Email),
    new Claim("role", userAttributes.Role) // 将ClaimTypes.Role改为"role"
};

验证修改效果 #

修改完成后，重新生成Token并调用标记了[Authorize(Roles = "Admin")]的接口，授权系统就能正确识别用户的Admin角色，不会再返回403错误。

内容的提问来源于stack exchange，提问作者Matt B