.NET 7结合Identity与JWT实现控制器角色授权问题排查

问题背景 #

在开发与React.ts交互的.NET Web API时，已通过设置默认认证方案解决了基础JWT认证问题，但角色授权失效：使用[Authorize(Roles = "User")]或自定义授权策略时，无对应角色的请求仍返回200而非401，无法实现基于角色的访问控制。

关键问题排查与修复 #

1. 修复中间件顺序与缺失 #

Program.cs中必须保证中间件顺序正确，且不能遗漏认证中间件：原代码缺少UseAuthentication()，且UseAuthorization在UseCors之前，这会导致认证流程未触发，授权直接跳过。

修改后的中间件配置：

app.UseHttpsRedirection();

// 先处理跨域，再认证，最后授权
app.UseCors("CORSPolicy");

app.UseAuthentication(); // 新增：触发JWT认证流程
app.UseAuthorization();

2. 正确生成包含用户真实角色的JWT #

原代码硬编码了角色Claim，且注释了从Identity获取用户真实角色的逻辑，导致Token中的角色与数据库中用户实际角色不匹配，同时需确保角色Claim类型与后端配置一致。

修改CreateToken方法：

private async Task<string> CreateToken(ApplicationUser user)
{
    // 从Identity获取用户的真实角色
    IList<string> roles = await _userManager.GetRolesAsync(user);

    List<Claim> claims = new List<Claim>
    {
        new Claim(ClaimTypes.Name, user.UserName),
        // 将用户所有角色添加到Claim中
        ..roles.Select(role => new Claim(ClaimTypes.Role, role))
    };

    var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(
        _configuration.GetSection("AppSettings:Token").Value!));
        
    var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha512Signature);

    var token = new JwtSecurityToken(
            claims: claims,
            expires: DateTime.Now.AddDays(1),
            signingCredentials: creds
        );

    var jwt = new JwtSecurityTokenHandler().WriteToken(token);
    return jwt;  
}

3. 显式配置JWTBearer的角色Claim类型 #

在JWTBearer配置中指定角色Claim类型，确保后端正确识别Token中的角色信息：

builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(options =>
{
    options.TokenValidationParameters = new TokenValidationParameters
    {
        ValidateIssuerSigningKey = true,
        ValidateAudience = false,
        ValidateIssuer = false,
        IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(
            builder.Configuration.GetSection("AppSettings:Token").Value!)),
        // 显式指定角色Claim类型，与生成Token时一致
        RoleClaimType = ClaimTypes.Role
    };
});

4. 验证授权策略/属性配置 #

如果使用自定义授权策略，确保配置与控制器属性匹配：

// Program.cs中添加授权策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("edittopic", policy =>
        policy.RequireRole("User")
    );
});

// TopicController中使用策略
[Authorize(Policy = "edittopic")]
// 或直接使用角色授权
[Authorize(Roles = "User")]

核心原因总结 #

• 缺失UseAuthentication()中间件，导致JWT认证流程未执行，授权逻辑直接跳过
• 中间件顺序错误，跨域处理需在认证授权之前
• Token生成时未绑定用户真实角色，且未确保Claim类型与后端配置一致

内容的提问来源于stack exchange，提问作者Morgan Bradford