.NET7 MVC中Azure AD角色授权失效，roleClaims计数为空求助

1. 验证Appsettings.json配置 #

确保配置包含"Scopes"和"ClientId"，且"ValidateAudience"设置正确，示例：

"AzureAd": {
  "Instance": "https://login.microsoftonline.com/",
  "Domain": "your-domain.onmicrosoft.com",
  "TenantId": "your-tenant-id",
  "ClientId": "your-client-id",
  "CallbackPath": "/signin-oidc",
  "Scopes": "api://{your-client-id}/access_as_user",
  "ValidateAudience": true
}

注意：单租户应用ValidateAudience设为true；Scopes必须包含应用自身暴露的API权限，格式为api://{client-id}/权限名称

2. 检查Program.cs授权配置 #

确保认证和授权中间件顺序正确，代码示例：

var builder = WebApplication.CreateBuilder(args);

// 添加Azure AD认证服务
builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(builder.Configuration.GetSection("AzureAd"));

// 配置角色授权策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("AdminPolicy", policy => policy.RequireRole("Admin"));
});

builder.Services.AddControllersWithViews(options =>
{
    var policy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
    options.Filters.Add(new AuthorizeFilter(policy));
});

builder.Services.AddRazorPages()
    .AddMicrosoftIdentityUI();

var app = builder.Build();

app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();

// 关键：认证中间件必须在授权中间件之前
app.UseAuthentication();
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");
app.MapRazorPages();

app.Run();

3. 确认Azure门户角色配置 #

• 应用注册->应用角色：确保角色的Allowed member types包含Users/Groups，且已将用户/组分配到对应角色
• 应用注册->API权限：添加应用自身的API权限，并完成管理员同意操作

4. 调试令牌内容 #

在控制器中添加代码解码JWT令牌，检查是否包含roles声明：

public IActionResult Index()
{
    var idToken = HttpContext.GetTokenAsync("id_token").Result;
    var jwtHandler = new JwtSecurityTokenHandler();
    var jwtToken = jwtHandler.ReadJwtToken(idToken);
    var roles = jwtToken.Claims.Where(c => c.Type == "roles").ToList();
    
    return View();
}

如果令牌中无roles声明，需重新检查角色分配和API权限配置

1. Azure门户配置 #

步骤1：应用注册 #

• 登录Azure门户->Azure Active Directory->应用注册->新注册
• 名称：自定义应用名；支持账户类型选择仅此组织目录中的账户（单租户）
• 重定向URI：选择Web，填写https://localhost:{本地调试端口}/signin-oidc
• 注册后记录Client ID和Tenant ID

步骤2：创建应用角色 #

• 应用注册->应用角色->创建应用角色
• 填写显示名称（如Admin）、值（如Admin），选择允许的成员类型为Users/Groups，状态设为启用
• 重复操作创建其他角色（如User）

步骤3：分配用户/组到角色 #

• 应用注册->企业应用->找到目标应用->用户和组->添加用户/组
• 选择需要授权的用户/组，绑定对应角色后完成分配

步骤4：配置API权限 #

• 应用注册->API权限->添加权限->我的API->选择自身应用
• 添加access_as_user权限，点击授予管理员同意

2. .NET6 MVC项目配置 #

步骤1：创建项目 #

打开Visual Studio，创建ASP.NET Core MVC项目，选择.NET6框架，勾选启用Azure AD身份验证

步骤2：修改Appsettings.json #

添加Azure AD配置：

"AzureAd": {
  "Instance": "https://login.microsoftonline.com/",
  "Domain": "your-domain.onmicrosoft.com",
  "TenantId": "your-tenant-id",
  "ClientId": "your-client-id",
  "CallbackPath": "/signin-oidc",
  "Scopes": "api://{your-client-id}/access_as_user"
}

步骤3：修改Program.cs #

var builder = WebApplication.CreateBuilder(args);

// 添加Azure AD认证
builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
    .AddMicrosoftIdentityWebApp(builder.Configuration.GetSection("AzureAd"));

// 配置授权策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("AdminOnly", policy => policy.RequireRole("Admin"));
    options.AddPolicy("UserOnly", policy => policy.RequireRole("User"));
});

builder.Services.AddControllersWithViews(options =>
{
    // 全局要求用户必须认证
    var defaultPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        .Build();
    options.Filters.Add(new AuthorizeFilter(defaultPolicy));
});

builder.Services.AddRazorPages()
    .AddMicrosoftIdentityUI();

var app = builder.Build();

if (!app.Environment.IsDevelopment())
{
    app.UseExceptionHandler("/Home/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();

// 中间件顺序不可颠倒
app.UseAuthentication();
app.UseAuthorization();

app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");
app.MapRazorPages();

app.Run();

步骤4：控制器中使用角色授权 #

public class HomeController : Controller
{
    // 所有已认证用户可访问
    public IActionResult Index()
    {
        var userClaims = User.Claims.ToList();
        return View();
    }

    // 仅Admin角色可访问
    [Authorize(Policy = "AdminOnly")]
    public IActionResult AdminDashboard()
    {
        return View();
    }

    // 仅User角色可访问
    [Authorize(Roles = "User")]
    public IActionResult UserProfile()
    {
        return View();
    }
}

步骤5：测试 #

启动项目，使用分配了角色的用户登录，访问对应控制器方法，验证授权逻辑是否生效，同时检查User.Claims是否包含roles声明

内容的提问来源于stack exchange，提问作者Fahad Mughal