如何填充AspNetRoleClaims表？解决登录后[Authorize]失效问题

问题描述 #

我已经给AspNetUsers和AspNetRoles表添加了数据，但登录后[Authorize]属性无法生效。之前我在Stack Overflow提过相关问题，推测原因是AspNetRoleClaims表中没有数据。想请教如何向该表添加数据？另外，我考虑过通过迁移添加，但不确定这是不是不良实践。

相关代码 #

AppDbContext #

public class AppDbContext : IdentityDbContext<IdentityUser, IdentityRole, string>
{
    public AppDbContext(DbContextOptions<AppDbContext> options) : base(options)
    {

    }

    public DbSet<Product> Products { get; set; }

    public virtual DbSet<TestProject.Models.RefreshToken> RefreshTokens { get; set; }
}

Program.cs #

var key = Encoding.ASCII.GetBytes("llvudfvkwvepwkdnsnwmuulyvtrawppf");

var tokenValidationParams = new TokenValidationParameters
{
    ValidateIssuerSigningKey = true,
    IssuerSigningKey = new SymmetricSecurityKey(key),
    ValidateIssuer = false,
    ValidateAudience = false,
    ValidateLifetime = true,
    RequireExpirationTime = false,
    ClockSkew = TimeSpan.Zero
};

builder.Services.AddSingleton(tokenValidationParams);

builder.Services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
})
.AddJwtBearer(jwt =>
{
    jwt.SaveToken = true;
    jwt.TokenValidationParameters = tokenValidationParams;
});


builder.Services.AddIdentity<IdentityUser, IdentityRole>()
            .AddEntityFrameworkStores<AppDbContext>()
            .AddDefaultTokenProviders();

var app = builder.Build();

if (app.Environment.IsDevelopment())
{
    app.UseSwagger();
    app.UseSwaggerUI();
}
    
app.MapControllers();

app.UseHttpsRedirection();
app.UseStaticFiles();

app.UseRouting();

app.UseAuthentication();
app.UseAuthorization();

app.Run();

受保护的测试端点 #

[Authorize]
[HttpGet]
[Route("api/Tokens")]
public IActionResult TestAuthorization()
{
    return Ok("You're Authorized");
}

登录方法（返回JWT令牌） #

[AllowAnonymous]
[HttpPost]
[Route("Login")]
public async Task<IActionResult> Login([FromBody] UserLoginRequest user)
{
    if (ModelState.IsValid)
    {
    var existingUser = await _userManager.FindByEmailAsync(user.Email);

    if (existingUser == null)
    {
        return BadRequest(new RegistrationResponse()
        {
            Errors = new List<string>() {
                    "Invalid login request"
                },
            Success = false
        });
    }

    var isCorrect = await _userManager.CheckPasswordAsync(existingUser, user.Password);

    if (!isCorrect)
    {
        return BadRequest(new RegistrationResponse()
        {
            Errors = new List<string>() {
                    "Invalid login request"
                },
            Success = false
        });
    }

    var jwtToken = await GenerateJwtToken(existingUser);

    return Ok(jwtToken);
}

return BadRequest(new RegistrationResponse()
{
    Errors = new List<string>() {
            "Invalid payload"
        },
    Success = false
});

解决方案 #

一、核心原因说明 #

ASP.NET Identity中，角色权限依赖**声明（Claim）**实现，AspNetRoleClaims表存储角色对应的声明信息（比如role类型的声明）。使用JWT认证时，令牌必须包含用户的角色声明，[Authorize]才能正确校验权限。你的问题可能同时存在两个问题：AspNetRoleClaims无数据，且生成JWT时未加入角色声明。

二、向AspNetRoleClaims添加数据的方法 #

1. 使用Identity API添加（推荐）

通过RoleManager操作是最符合Identity设计的方式，避免直接操作数据库：

// 注入RoleManager<IdentityRole>
private readonly RoleManager<IdentityRole> _roleManager;

public async Task SeedRoleClaims()
{
    // 假设已有名为"Admin"的角色
    var adminRole = await _roleManager.FindByNameAsync("Admin");
    if (adminRole != null)
    {
        // 添加标准role类型声明
        await _roleManager.AddClaimAsync(adminRole, new Claim(ClaimTypes.Role, "Admin"));
    }
}

可以在项目初始化阶段（比如Program.cs的app.Run()前，或单独的种子数据类）执行这段代码，给已有角色批量添加声明。

2. 手动插入数据库（临时测试用）

如果只是快速测试，可直接用SQL语句插入：

INSERT INTO AspNetRoleClaims (RoleId, ClaimType, ClaimValue)
VALUES ('你的角色ID', 'http://schemas.microsoft.com/ws/2008/06/identity/claims/role', 'Admin');

注意替换你的角色ID为AspNetRoles表中对应角色的Id，ClaimType使用标准的角色声明URI，也可直接用"role"（取决于JWT生成配置）。

3. 通过迁移添加（可行，并非不良实践）

如果需要部署时自动初始化权限，可通过迁移添加种子数据：

• 创建新迁移：Add-Migration AddRoleClaims
• 在迁移的Up方法中添加插入逻辑：

protected override void Up(MigrationBuilder migrationBuilder)
{
    // 避免重复插入，仅当声明不存在时添加
    migrationBuilder.Sql(@"
        INSERT INTO AspNetRoleClaims (RoleId, ClaimType, ClaimValue)
        SELECT Id, 'http://schemas.microsoft.com/ws/2008/06/identity/claims/role', Name
        FROM AspNetRoles
        WHERE Name = 'Admin'
        AND NOT EXISTS (SELECT 1 FROM AspNetRoleClaims WHERE RoleId = Id AND ClaimType = 'http://schemas.microsoft.com/ws/2008/06/identity/claims/role')
    ");
}

这种方式适合固定权限的初始化场景，不属于不良实践。

三、关键修复：JWT令牌必须包含角色声明 #

即使AspNetRoleClaims有数据，生成JWT时未加入角色声明，[Authorize]仍会失效。修改GenerateJwtToken方法：

private async Task<string> GenerateJwtToken(IdentityUser user)
{
    var claims = new List<Claim>
    {
        new Claim(ClaimTypes.NameIdentifier, user.Id),
        new Claim(ClaimTypes.Email, user.Email)
    };

    // 获取用户所属角色并添加到声明
    var userRoles = await _userManager.GetRolesAsync(user);
    foreach (var role in userRoles)
    {
        claims.Add(new Claim(ClaimTypes.Role, role));
        // 可选：添加角色对应的其他声明（从AspNetRoleClaims读取）
        var roleEntity = await _roleManager.FindByNameAsync(role);
        var roleClaims = await _roleManager.GetClaimsAsync(roleEntity);
        claims.AddRange(roleClaims);
    }

    var tokenHandler = new JwtSecurityTokenHandler();
    var tokenDescriptor = new SecurityTokenDescriptor
    {
        Subject = new ClaimsIdentity(claims),
        Expires = DateTime.UtcNow.AddHours(2),
        SigningCredentials = new SigningCredentials(new SymmetricSecurityKey(key), SecurityAlgorithms.HmacSha256Signature)
    };

    var token = tokenHandler.CreateToken(tokenDescriptor);
    return tokenHandler.WriteToken(token);
}

生成的JWT令牌会包含角色信息，[Authorize]即可正常校验。

四、额外检查点 #

1. 确认AspNetUserRoles表中存在用户与角色的关联数据；
2. 用JWT解析工具（如jwt.io）检查令牌payload是否包含role声明；
3. 你的Program.cs中UseAuthentication()在UseAuthorization()之前，顺序正确无需修改。

内容的提问来源于stack exchange，提问作者Greg