.NET 7 Razor页面如何将Auth0 OIDC角色整合到角色授权中

因为你已经把Auth0角色写入令牌，且能从User.Claims中读取，不需要依赖RoleManager（毕竟角色管理完全外包给Auth0），核心是将Auth0返回的角色声明映射为.NET身份系统默认识别的Role声明，具体有两种实现方式：

方式一：在OpenID Connect配置中直接映射声明 #

在配置Auth0的OpenID Connect认证时，通过ClaimActions将Auth0的角色声明转换为.NET标准的Role类型声明。假设你的Auth0令牌中角色存储在roles字段（数组类型），修改Program.cs中的认证配置：

builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultSignInScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(options =>
{
    // 其他Auth0基础配置
    options.Domain = "your-auth0-domain";
    options.ClientId = "your-client-id";
    options.ClientSecret = "your-client-secret";
    options.ResponseType = "code";
    options.Scope.Clear();
    options.Scope.Add("openid");
    options.Scope.Add("profile");
    options.Scope.Add("email");
    // 若角色在自定义API令牌中，需添加对应API Scope

    // 关键：将Auth0的roles数组映射为.NET标准Role声明
    // 若你的角色用了自定义命名空间（如https://your-domain/roles），替换为对应键名
    options.ClaimActions.MapJsonKey(ClaimTypes.Role, "roles", "json_array");
});

这段代码会把Auth0令牌中roles数组的每个角色，自动转为ClaimTypes.Role类型的声明，让.NET授权系统直接识别这些角色。

方式二：使用ClaimsTransformation灵活处理 #

如果需要更复杂的角色转换逻辑（比如过滤、重命名角色），可以实现IClaimsTransformation接口：

1. 创建角色转换类：

public class Auth0RoleClaimsTransformation : IClaimsTransformation
{
    public Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        var identity = principal.Identity as ClaimsIdentity;
        if (identity == null) return Task.FromResult(principal);

        // 从Auth0声明中提取角色，此处假设角色声明的键为"roles"
        var auth0Roles = principal.FindAll("roles").Select(c => c.Value);
        foreach (var role in auth0Roles)
        {
            // 避免重复添加相同角色声明
            if (!identity.HasClaim(ClaimTypes.Role, role))
            {
                identity.AddClaim(new Claim(ClaimTypes.Role, role));
            }
        }

        return Task.FromResult(new ClaimsPrincipal(identity));
    }
}

2. 在Program.cs中注册该服务：

builder.Services.AddScoped<IClaimsTransformation, Auth0RoleClaimsTransformation>();

验证授权策略 #

完成角色映射后，你之前定义的授权策略即可正常生效：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("RequireAdministratorRole",
         policy => policy.RequireRole("Administrator"));
});

接着在Razor Pages中通过约定授权页面：

builder.Services.AddRazorPages(options =>
{
    options.Conventions.AuthorizePage("/AdminDashboard", "RequireAdministratorRole");
});

或直接在页面模型上添加特性：

[Authorize(Policy = "RequireAdministratorRole")]
public class AdminDashboardModel : PageModel
{
    // 页面逻辑代码
}

内容的提问来源于stack exchange，提问作者user9859842