.NET 6迁移后ASP.NET Identity角色失效：用户角色无法识别求助

核心问题分析 #

用户可正常登录但角色功能失效，说明身份认证流程正常，但用户角色未被加载到ClaimsPrincipal中。你提到IRoleStore方法未被调用是正常情况——验证用户角色时，Identity主要依赖IUserRoleStore接口（处理用户与角色的关联），IRoleStore仅用于角色的CRUD操作，登录验证环节不会触发它的方法。

具体排查解决步骤 #

1. 确认IUserRoleStore接口实现正确 #

检查DapperStore中IUserRoleStore的核心方法是否正确实现，这是加载用户角色的关键：

• GetRolesAsync: 需从AspNetUserRoles表查询当前用户关联的所有角色名称
• IsInRoleAsync: 验证用户是否属于指定角色

示例实现参考：

public async Task<IList<string>> GetRolesAsync(AspNetIdentityUser user, CancellationToken cancellationToken)
{
    cancellationToken.ThrowIfCancellationRequested();
    using var conn = new SqlConnection(_connectionString);
    return await conn.QueryAsync<string>(
        "SELECT r.Name FROM AspNetUserRoles ur JOIN AspNetRoles r ON ur.RoleId = r.Id WHERE ur.UserId = @UserId",
        new { UserId = user.Id }
    ).ToListAsync();
}

public async Task<bool> IsInRoleAsync(AspNetIdentityUser user, string roleName, CancellationToken cancellationToken)
{
    cancellationToken.ThrowIfCancellationRequested();
    using var conn = new SqlConnection(_connectionString);
    var count = await conn.ExecuteScalarAsync<int>(
        "SELECT COUNT(1) FROM AspNetUserRoles ur JOIN AspNetRoles r ON ur.RoleId = r.Id WHERE ur.UserId = @UserId AND r.Name = @RoleName",
        new { UserId = user.Id, RoleName = roleName }
    );
    return count > 0;
}

2. 调整Identity服务配置 #

AddDefaultIdentity是简化版配置，在自定义Store场景下建议改用AddIdentity以获得完整的角色支持：

builder.Services.AddIdentity<AspNetIdentityUser, AspNetIdentityRole>(options => 
    options.SignIn.RequireConfirmedAccount = true)
    .AddUserStore<DapperStore>()
    .AddRoleStore<DapperStore>()
    .AddDefaultTokenProviders()
    .AddDefaultUI(); // 若保留Identity默认UI需添加此配置

3. 自定义ClaimsPrincipalFactory强制添加角色声明 #

默认情况下，自定义Store可能不会自动将角色添加到用户的Claims中，需手动扩展UserClaimsPrincipalFactory：

1. 创建自定义Factory类：

public class CustomUserClaimsPrincipalFactory : UserClaimsPrincipalFactory<AspNetIdentityUser, AspNetIdentityRole>
{
    private readonly UserManager<AspNetIdentityUser> _userManager;

    public CustomUserClaimsPrincipalFactory(
        UserManager<AspNetIdentityUser> userManager,
        RoleManager<AspNetIdentityRole> roleManager,
        IOptions<IdentityOptions> optionsAccessor) 
        : base(userManager, roleManager, optionsAccessor)
    {
        _userManager = userManager;
    }

    protected override async Task<ClaimsIdentity> GenerateClaimsAsync(AspNetIdentityUser user)
    {
        var identity = await base.GenerateClaimsAsync(user);
        // 获取用户角色并添加到Claims集合
        var roles = await _userManager.GetRolesAsync(user);
        foreach (var role in roles)
        {
            identity.AddClaim(new Claim(ClaimTypes.Role, role));
        }
        return identity;
    }
}

2. 在Program.cs中注册该Factory：

builder.Services.AddScoped<IUserClaimsPrincipalFactory<AspNetIdentityUser>, CustomUserClaimsPrincipalFactory>();

4. 验证数据库关联数据 #

检查AspNetUserRoles表中是否存在当前用户与Admin角色的关联记录，确保UserId和RoleId对应正确，同时确认AspNetRoles表中存在Name为Admin的角色条目。

5. 调试验证Claims #

登录后在页面模型中输出当前用户的Claims，确认是否包含Role类型的声明：

var claims = HttpContext.User.Claims.ToList();
// 遍历claims查看是否存在ClaimTypes.Role类型的条目

内容的提问来源于stack exchange，提问作者Program.X