ASP.NET Core无法从JWT的realm_access提取角色的问题排查与解决

ASP.NET Core的JWT认证中间件默认只会从标准的角色声明字段提取角色信息，比如顶层的roles数组，或者符合http://schemas.microsoft.com/ws/2008/06/identity/claims/role格式的Claim节点。你的角色存储在自定义的realm_access.roles路径下，中间件不会自动识别这个位置的角色，所以IsInRole会返回false。

有两种常用的修复方式，根据需求选择：

方法1：手动在OnTokenValidated事件中添加角色声明 #

在现有逻辑里，从JWT Payload中取出realm_access.roles并添加到Principal的Claims集合：

jwtOptions.Events = new JwtBearerEvents()
{
    OnTokenValidated = c =>
    {
        if (c.Principal?.Identity is ClaimsIdentity identity)
        {
            var realmAccessClaim = c.Principal.Claims.FirstOrDefault(c => c.Type == "realm_access");
            if (realmAccessClaim != null)
            {
                var realmRoles = System.Text.Json.JsonSerializer.Deserialize<Dictionary<string, List<string>>>(realmAccessClaim.Value);
                if (realmRoles?.ContainsKey("roles") == true)
                {
                    foreach (var role in realmRoles["roles"])
                    {
                        identity.AddClaim(new Claim(ClaimTypes.Role, role));
                    }
                }
            }
        }

        // 此时IsInRole可正确识别角色
        if (c.Principal.IsInRole("Admin"))
        {
            c.HttpContext.Items["Admin"] = true;
        }
        return Task.CompletedTask;
    }
};

方法2：配置TokenValidationParameters指定角色声明路径 #

针对ASP.NET Core 3.0+版本，可通过配置让中间件自动提取嵌套的角色数组：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(jwtOptions =>
    {
        jwtOptions.TokenValidationParameters = new TokenValidationParameters
        {
            // 保留原有验证参数（如ValidIssuer、ValidAudience等）
            MapInboundClaims = true
        };
        // 映射嵌套的roles数组到标准角色Claim
        jwtOptions.ClaimActions.MapJsonKey(ClaimTypes.Role, "realm_access.roles", "json");
    });

注意事项 #

• 确保JWT Payload中的realm_access是合法JSON格式，且roles为字符串数组。
• 使用方法1时，建议添加异常处理逻辑，避免因Payload格式错误导致认证失败。

内容的提问来源于stack exchange，提问作者Ali EXE