Blazor WASM中Azure AD应用角色无法生效的问题排查

我之前也碰到过一模一样的问题！核心原因就是ASP.NET Core默认的角色验证逻辑没法直接处理Azure AD返回的数组形式的roles声明——它期望每个角色都是单独的Claim项，而不是塞在一个数组里。下面是具体的解决步骤：

1. 创建自定义声明转换类 #

我们需要写一个IClaimsTransformation的实现，把数组形式的roles拆分成多个独立的角色声明：

using System.Security.Claims;
using System.Threading.Tasks;
using Microsoft.AspNetCore.Authentication;
using System.Text.Json;

public class AzureADRolesClaimsTransformation : IClaimsTransformation
{
    public Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        var identity = principal.Identity as ClaimsIdentity;
        if (identity == null)
            return Task.FromResult(principal);

        // 找到数组形式的roles声明
        var rolesArrayClaim = identity.FindFirst("roles");
        if (rolesArrayClaim != null && rolesArrayClaim.Value.StartsWith("[") && rolesArrayClaim.Value.EndsWith("]"))
        {
            // 反序列化数组
            var roles = JsonSerializer.Deserialize<string[]>(rolesArrayClaim.Value);
            if (roles != null)
            {
                // 移除原数组声明
                identity.RemoveClaim(rolesArrayClaim);
                // 逐个添加独立的角色声明
                foreach (var role in roles)
                {
                    identity.AddClaim(new Claim("roles", role));
                }
            }
        }

        return Task.FromResult(principal);
    }
}

2. 在Program.cs中注册转换服务 #

确保在配置完MSAL认证之后，注册这个自定义转换类：

builder.Services.AddMsalAuthentication(options =>
{
    builder.Configuration.Bind("AzureAd", options.ProviderOptions.Authentication);
    options.UserOptions.RoleClaim = "roles"; // 你已经配置的这一行保留
});

// 添加自定义声明转换服务
builder.Services.AddScoped<IClaimsTransformation, AzureADRolesClaimsTransformation>();

3. 验证效果 #

可以在某个页面里打印用户的所有声明，确认转换后是否生成了多个独立的roles声明：

@page "/"
@inject AuthenticationStateProvider AuthState

<h3>User Claims</h3>
@foreach (var claim in User.Claims)
{
    <p><strong>@claim.Type:</strong> @claim.Value</p>
}

@code {
    protected override async Task OnInitializedAsync()
    {
        var authState = await AuthState.GetAuthenticationStateAsync();
        User = authState.User;
    }
}

运行后你应该能看到每个角色都是单独的roles类型声明，这时[Authorize(Roles = "Admin")]就能正常识别授权了。

额外注意点 #

• 确保Azure AD应用清单里的appRoles名称和你代码中使用的"Admin"完全一致（大小写敏感）；
• 如果你后续添加了新的应用角色，用户需要重新登录才能获取到更新后的声明。

内容的提问来源于stack exchange，提问作者Waleed Al Harthi