ASP.NET Identity角色授权异常：React请求带角色权限返回403

• 检查角色Claim的类型是否符合标准
  默认ASP.NET Identity识别的角色Claim类型是http://schemas.microsoft.com/ws/2008/06/identity/claims/role，如果手动添加Claim时用了自定义类型（比如"Role"），授权系统会无法识别。可以直接查看数据库AspNetUserClaims表的ClaimType字段确认，或者在Program.cs中统一配置角色Claim类型：

services.Configure<IdentityOptions>(options =>
{
    options.ClaimsIdentity.RoleClaimType = "Role"; // 若用自定义类型，需在此指定
});

• 验证JWT令牌是否包含角色信息
  登录后在React端拿到的JWT令牌，复制到jwt.io解码，确认令牌的Claims里包含roles字段（或对应ClaimType的字段），且值为"SuperAdmin"。如果令牌里没有角色，说明登录逻辑没把角色加入Claims，需修改登录代码：

var user = await _userManager.FindByNameAsync(model.UserName);
var roles = await _userManager.GetRolesAsync(user);
var claims = new List<Claim>
{
    new Claim(ClaimTypes.Name, user.UserName)
};
// 批量添加角色Claims
foreach (var role in roles)
{
    claims.Add(new Claim(ClaimTypes.Role, role));
}
// 生成JWT令牌时传入claims列表

• 确认中间件顺序正确
  在Program.cs中，必须保证app.UseAuthentication()在app.UseAuthorization()之前执行，且两者都在路由中间件之前：

app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();
app.MapFallbackToFile("index.html"); // React项目的 fallback 路由

• 核对用户与角色的关联关系
  检查数据库AspNetUserRoles表，确认用户ID和"SuperAdmin"角色ID存在关联记录。注意角色名称大小写敏感，"superadmin"和"SuperAdmin"会被视为不同角色。

• 尝试用自定义Policy替代直接指定Roles
  如果上述方法无效，可以尝试通过自定义Policy实现授权，配置更稳定：

services.AddAuthorization(options =>
{
    options.AddPolicy("SuperAdminOnly", policy =>
        policy.RequireRole("SuperAdmin"));
});

然后控制器上使用[Authorize(Policy = "SuperAdminOnly")]替代[Authorize(Roles = "SuperAdmin")]。

内容的提问来源于stack exchange，提问作者Atif Husain