Identity Server 4角色策略失效，API返回403权限问题求助

核心问题分析 #

请求返回403主要源于两个关键问题：

1. JWT的受众（aud）与API端期望的不匹配
2. ASP.NET Core授权系统无法识别JWT中的role字段作为角色声明

1. 修正JWT受众不匹配 #

你的JWT里aud是https://localhost:5001/resources，但API端需要验证的受众是api1，这会直接导致令牌验证失败。

修复步骤： #

• IdentityServer端：添加ApiResource配置，明确api1的资源定义：

  new ApiResource[]
  {
      new ApiResource("api1", "API 1")
      {
          Scopes = new[] {"api1"}
      }
  };
  

• API端：在JWT验证配置中指定正确的受众：

  services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
      .AddJwtBearer(options =>
      {
          options.Authority = "https://localhost:5001";
          options.Audience = "api1"; // 必须和ApiResource的名称一致
      });
  

2. 让授权系统识别JWT中的角色 #

ASP.NET Core默认使用http://schemas.microsoft.com/ws/2008/06/identity/claims/role作为角色声明的类型，但你的JWT里角色字段是role，所以授权逻辑找不到对应的角色信息。

两种修复方案： #

方案A：在API端指定角色声明类型

直接告诉授权系统，JWT中的role字段就是角色声明：

services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = "https://localhost:5001";
        options.Audience = "api1";
        options.TokenValidationParameters = new TokenValidationParameters
        {
            RoleClaimType = "role" // 映射JWT中的"role"字段为角色声明
        };
    });

方案B：在IdentityServer端输出默认角色声明类型

修改IdentityServer的角色资源配置，使用ASP.NET Core默认的角色声明类型：

new IdentityResource(
    name: "role",
    userClaims: new[] { System.Security.Claims.ClaimTypes.Role }
);

这样生成的JWT中，角色会以默认的长URI作为键，API端无需额外配置就能识别。

3. 其他验证点 #

• 确认API端中间件顺序正确：app.UseAuthentication();必须在app.UseAuthorization();之前。
• 检查你的授权策略admin中的RequireClaim("scope", "api1")，你的JWT里scope数组已经包含api1，这部分没问题。
• 无论是使用[Authorize(Policy = "admin")]还是[Authorize(Role = "admin")]，上述步骤修复后都能正常生效。

内容的提问来源于stack exchange，提问作者Adamski