更新角色后如何刷新ASP.NET Cookie中的Claims无需用户重登？

1. 自定义Identity Server的ProfileService，动态拉取最新角色 #

默认ProfileService仅在用户首次登录时获取角色并写入令牌，后续刷新令牌不会重新同步角色数据。需自定义实现，确保每次生成令牌（含刷新场景）都从数据库获取当前最新角色：

public class CustomProfileService : IProfileService
{
    private readonly UserManager<ApplicationUser> _userManager;

    public CustomProfileService(UserManager<ApplicationUser> userManager)
    {
        _userManager = userManager;
    }

    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        var user = await _userManager.GetUserAsync(context.Subject);
        if (user == null) throw new ArgumentException("指定用户不存在");

        // 获取当前最新角色列表
        var roles = await _userManager.GetRolesAsync(user);
        var roleClaims = roles.Select(r => new Claim(JwtClaimTypes.Role, r));
        
        context.IssuedClaims.AddRange(roleClaims);
        // 保留用户其他原有声明
        var existingClaims = await _userManager.GetClaimsAsync(user);
        context.IssuedClaims.AddRange(existingClaims);
    }

    public async Task IsActiveAsync(IsActiveContext context)
    {
        var user = await _userManager.GetUserAsync(context.Subject);
        context.IsActive = user != null && user.IsActive;
    }
}

在Identity Server的Startup.cs中注册该服务：

services.AddScoped<IProfileService, CustomProfileService>();

2. 配置MVC客户端OpenIdConnect认证，支持静默刷新 #

调整客户端认证配置，确保能静默获取新令牌并更新本地Cookie声明：

services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie(options =>
{
    options.ExpireTimeSpan = TimeSpan.FromMinutes(20); // 保留原有20分钟无活动登出配置
    options.SlidingExpiration = true;
    options.RefreshOnIssuedClaims = true; // 声明更新时自动刷新Cookie
})
.AddOpenIdConnect(options =>
{
    options.Authority = "https://your-identity-server-url";
    options.ClientId = "your-mvc-client-id";
    options.ClientSecret = "your-client-secret";
    options.ResponseType = "code";
    options.SaveTokens = true;
    options.Scope.Add("openid");
    options.Scope.Add("profile");
    options.Scope.Add("roles"); // 必须请求roles scope
    options.GetClaimsFromUserInfoEndpoint = true;
    
    options.UseTokenLifetime = false; // 客户端Cookie生命周期独立于令牌
    options.RequireHttpsMetadata = true;
    options.RefreshOnIssuedClaims = true;
    
    options.TokenValidationParameters = new TokenValidationParameters
    {
        NameClaimType = JwtClaimTypes.Name,
        RoleClaimType = JwtClaimTypes.Role
    };
});

3. 角色切换后触发静默刷新，更新客户端Cookie #

在角色切换的Action中，通过静默认证请求获取含最新角色的令牌，自动更新本地Cookie：

public async Task<IActionResult> SwitchRole(string roleName)
{
    var user = await _userManager.GetUserAsync(User);
    if (user != null)
    {
        // 根据业务逻辑调整角色切换逻辑（示例为清空旧角色后添加新角色）
        var currentRoles = await _userManager.GetRolesAsync(user);
        await _userManager.RemoveFromRolesAsync(user, currentRoles);
        await _userManager.AddToRoleAsync(user, roleName);
    }

    // 触发静默认证，无需用户交互
    var properties = new AuthenticationProperties
    {
        RedirectUri = Url.Action("Index", "Home"), // 刷新后跳转目标页
        Items = { ["prompt"] = "none" }
    };
    
    return Challenge(properties, OpenIdConnectDefaults.AuthenticationScheme);
}

原方案无效原因说明 #

• 缩短Cookie过期时间：属于临时规避方案，破坏了原有20分钟无活动登出的业务规则。
• UpdateAccessTokenClaimsOnRefresh：仅对access_token的声明更新生效，而User.IsInRole()依赖的是id_token或客户端Cookie中的角色声明，因此无效果。
• 更新安全戳：会导致现有刷新令牌失效，需用户重新登录，且无法自动触发令牌刷新，不符合无登出更新的需求。

内容的提问来源于stack exchange，提问作者Gil León