ASP.NET Core Identity角色权限配置问题求助

一、核心配置修正（Program.cs） #

双数据库场景下必须明确区分Identity认证库和应用业务库的DbContext配置，且中间件顺序不能出错：

var builder = WebApplication.CreateBuilder(args);

// 1. 注册Identity专用DbContext（指向认证数据库）
builder.Services.AddDbContext<AppIdentityDbContext>(options =>
    options.UseSqlServer(builder.Configuration.GetConnectionString("IdentityDbConnection")));

// 2. 添加Identity服务，启用角色支持
builder.Services.AddDefaultIdentity<IdentityUser>(options => options.SignIn.RequireConfirmedAccount = false)
    .AddRoles<IdentityRole>() // 关键：必须启用角色功能
    .AddEntityFrameworkStores<AppIdentityDbContext>();

// 3. 配置Cookie认证（Identity默认使用Cookie，无需JWT）
builder.Services.ConfigureApplicationCookie(options =>
{
    options.LoginPath = "/Account/Login"; // 自定义登录页路径
    options.AccessDeniedPath = "/Account/AccessDenied"; // 权限不足跳转页
});

// 4. 注册应用业务库DbContext（按需添加）
builder.Services.AddDbContext<AppDbContext>(options =>
    options.UseSqlServer(builder.Configuration.GetConnectionString("AppDbConnection")));

// 添加MVC/Razor Pages支持（根据项目类型选择）
builder.Services.AddControllersWithViews();
// 或 builder.Services.AddRazorPages();

var app = builder.Build();

// 中间件顺序：先认证，再授权，最后路由
app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();

// 这两个中间件顺序绝对不能颠倒
app.UseAuthentication(); 
app.UseAuthorization();

// 路由配置
app.MapControllerRoute(
    name: "default",
    pattern: "{controller=Home}/{action=Index}/{id?}");
// 或 app.MapRazorPages();

app.Run();

配套的AppIdentityDbContext实现：

using Microsoft.AspNetCore.Identity.EntityFrameworkCore;
using Microsoft.EntityFrameworkCore;

public class AppIdentityDbContext : IdentityDbContext
{
    public AppIdentityDbContext(DbContextOptions<AppIdentityDbContext> options)
        : base(options)
    {
    }
}

二、手动数据库配置必查项 #

你手动插入的AspNetUsers、AspNetRoles、AspNetUserRoles表必须满足以下规则，否则Identity无法识别角色：

• AspNetRoles表：NormalizedName字段必须为大写（比如角色名是Admin，则NormalizedName为ADMIN），Identity默认按该字段匹配角色。
• AspNetUsers表：NormalizedUserName字段同样必须大写。
• AspNetUserRoles表：UserId和RoleId必须严格对应AspNetUsers.Id和AspNetRoles.Id，且主键类型一致（默认是nvarchar(450)的Guid字符串）。

推荐：避免手动插表，改用Identity API确保数据一致性：

// 在种子数据或后台管理页面执行
var userManager = serviceProvider.GetRequiredService<UserManager<IdentityUser>>();
var roleManager = serviceProvider.GetRequiredService<RoleManager<IdentityRole>>();

// 创建角色
if (!await roleManager.RoleExistsAsync("Admin"))
{
    await roleManager.CreateAsync(new IdentityRole("Admin"));
}

// 给用户分配角色
var adminUser = await userManager.FindByNameAsync("your-admin-username");
if (adminUser != null && !await userManager.IsInRoleAsync(adminUser, "Admin"))
{
    await userManager.AddToRoleAsync(adminUser, "Admin");
}

三、正确的授权用法示例 #

1. 控制器/Action级授权 #

// 控制器级：仅允许Admin角色访问
[Authorize(Roles = "Admin")]
public class AdminController : Controller
{
    public IActionResult Index()
    {
        return View();
    }

    // Action级：允许Admin或Editor角色访问
    [Authorize(Roles = "Admin,Editor")]
    public IActionResult ManageUsers()
    {
        return View();
    }
}

2. Razor页面授权 #

在.cshtml.cs文件顶部添加：

[Authorize(Roles = "Admin")]
public class AdminModel : PageModel
{
    public void OnGet()
    {
    }
}

或在.cshtml页面顶部添加：

@attribute [Authorize(Roles = "Admin")]

3. 策略授权（复杂场景） #

如果需要灵活的授权规则，可自定义策略：

// Program.cs中添加策略
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("AdminOnly", policy => policy.RequireRole("Admin"));
});

// 使用策略
[Authorize(Policy = "AdminOnly")]
public IActionResult AdminDashboard()
{
    return View();
}

四、调试排查方法 #

若仍提示"访问被拒绝"，按以下步骤定位问题：

1. 查看用户Claims：在控制器/页面中输出当前用户的Claims，确认是否包含角色信息：

   public IActionResult TestClaims()
   {
       var claims = User.Claims.Select(c => $"{c.Type}: {c.Value}").ToList();
       return Json(claims);
   }
   

   正常应包含类型为http://schemas.microsoft.com/ws/2008/06/identity/claims/role的Claims，值为你的角色名。

2. 启用Identity日志：在appsettings.json中添加日志配置，查看授权过程的细节：

   {
     "Logging": {
       "LogLevel": {
         "Microsoft.AspNetCore.Identity": "Debug",
         "Microsoft.AspNetCore.Authentication": "Debug"
       }
     }
   }
   

   通过控制台日志定位具体失败原因（如角色匹配失败、用户未登录等）。

3. 验证登录状态：确认用户已成功登录（通过User.Identity.IsAuthenticated判断），未登录用户会被重定向或返回403。

内容的提问来源于stack exchange，提问作者barsaar