已分配给用户的角色及关联Claim未出现在生成的JWT中

核心结论 #

默认情况下，IdentityServer（结合ASP.NET Core Identity）不会自动将用户角色及角色关联的Claim添加到JWT中，你需要通过配置或实现IProfileService来完成这个需求。

排查与解决步骤 #

1. 检查Scope配置 #

确保你的IdentityServer客户端配置中，AllowedScopes包含roles（如果elevated是自定义Claim，需先定义对应的IdentityResource或ApiResource）：

// 定义基础及角色资源
services.AddIdentityServer()
    .AddIdentityResources(identityResources =>
    {
        identityResources.Add(new IdentityResources.OpenId());
        identityResources.Add(new IdentityResources.Profile());
        // 添加roles资源，指定返回的Claim类型
        identityResources.Add(new IdentityResource("roles", "用户角色", new List<string> { JwtClaimTypes.Role }));
    })
    .AddApiResources(apiResources =>
    {
        // 若elevated属于API关联Claim，在此定义对应的ApiResource
        apiResources.Add(new ApiResource("your-api", "你的业务API")
        {
            UserClaims = { "elevated" }
        });
    });

// 客户端配置
services.AddClients().AddClient("your-client", client =>
{
    client.AllowedScopes = new List<string>
    {
        "openid",
        "profile",
        "roles",
        "your-api" // 关联自定义Claim的API资源
    };
    // 其他客户端配置（授权类型、重定向地址等）...
});

2. 配置Claim映射（ASP.NET Core Identity） #

在Identity配置中，将角色Claim类型映射为JWT标准字段，确保IdentityServer能正确识别：

services.AddIdentity<ApplicationUser, IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>()
    .AddDefaultTokenProviders();

// 映射角色Claim类型为JWT标准的Role字段
services.Configure<IdentityOptions>(options =>
{
    options.ClaimsIdentity.RoleClaimType = JwtClaimTypes.Role;
});

3. 实现IProfileService（若上述配置无效） #

如果前两步配置后JWT仍未包含目标内容，就需要手动实现IProfileService主动注入角色及关联Claim：

public class CustomProfileService : IProfileService
{
    private readonly UserManager<ApplicationUser> _userManager;
    private readonly RoleManager<IdentityRole> _roleManager;

    public CustomProfileService(UserManager<ApplicationUser> userManager, RoleManager<IdentityRole> roleManager)
    {
        _userManager = userManager;
        _roleManager = roleManager;
    }

    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        var user = await _userManager.GetUserAsync(context.Subject);
        if (user == null) return;

        // 添加用户自身的Claim
        var userClaims = await _userManager.GetClaimsAsync(user);
        context.IssuedClaims.AddRange(userClaims);

        // 添加用户所属角色及角色关联的Claim
        var roles = await _userManager.GetRolesAsync(user);
        foreach (var roleName in roles)
        {
            context.IssuedClaims.Add(new Claim(JwtClaimTypes.Role, roleName));
            
            var role = await _roleManager.FindByNameAsync(roleName);
            var roleClaims = await _roleManager.GetClaimsAsync(role);
            context.IssuedClaims.AddRange(roleClaims);
        }
    }

    public async Task IsActiveAsync(IsActiveContext context)
    {
        var user = await _userManager.GetUserAsync(context.Subject);
        context.IsActive = user != null;
    }
}

最后在IdentityServer配置中注册该服务：

services.AddIdentityServer()
    .AddAspNetIdentity<ApplicationUser>()
    .AddProfileService<CustomProfileService>();

内容的提问来源于stack exchange，提问作者Konrad Viltersten