不使用Identity框架如何实现ASP.NET Core Web API基于角色的授权

先直接回答你关心的三个问题：

• 基于角色的授权完全不需要依赖.NET Identity框架，Identity只是对ASP.NET Core原生授权能力做了上层业务封装，不是实现角色授权的必要前提
• 完全可以在登录生成JWT时直接把角色信息写入声明，直接用框架原生的[Authorize(Roles = "Administrator")]特性完成授权校验，不需要自己额外编写自定义角色校验特性
• 这套实现方式是ASP.NET Core认证授权体系的原生基础能力，属于官方正式支持的用法，不存在兼容性或者不规范的问题

实现原理 #

ASP.NET Core原生的角色授权逻辑非常简单：授权中间件在执行校验时，会自动检查当前请求绑定的用户身份（ClaimsIdentity）中，类型为ClaimTypes.Role的所有声明值，只要其中任意一个值和[Authorize]特性中指定的角色名匹配，就判定授权通过。
这套逻辑和你使用什么认证方式、有没有接入Identity没有绑定关系，只要JWT认证流程执行完成后，用户身份上携带了对应类型的角色声明，原生授权特性就能正常工作。

具体实现步骤 #

1. 登录生成JWT时写入角色声明 #

在你现有的JWT生成逻辑中，除了原有的登录名等声明，额外添加角色类型的声明即可，单用户多角色场景只要添加多条同类型声明就行：

// 从数据库查询到的当前登录用户信息
var currentUser = await userRepo.FindByLoginNameAsync(loginRequest.LoginName);
// 校验密码逻辑（你原有逻辑保留）
if (!VerifyPassword(currentUser.PasswordHash, loginRequest.Password)) 
    return Unauthorized();

var claims = new List<Claim>
{
    // 原有声明保留，比如登录名
    new Claim(ClaimTypes.Name, currentUser.LoginName),
    // 新增角色声明，值直接取数据库中存储的Role字段
    new Claim(ClaimTypes.Role, currentUser.Role)
    // 多角色场景就多加一行：new Claim(ClaimTypes.Role, "AnotherRole")
};

// 以下是你原有生成JWT的逻辑，不需要修改
var signingKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(config["Jwt:Secret"]));
var credentials = new SigningCredentials(signingKey, SecurityAlgorithms.HmacSha256);
var jwtToken = new JwtSecurityToken(
    issuer: config["Jwt:Issuer"],
    audience: config["Jwt:Audience"],
    claims: claims,
    expires: DateTime.Now.AddHours(2),
    signingCredentials: credentials
);

return Ok(new { token = new JwtSecurityTokenHandler().WriteToken(jwtToken) });

2. JWT认证配置检查 #

你现有的AddJwtBearer配置基本不需要改动，默认配置就能自动识别JWT中的角色声明。

如果你之前为了精简JWT载荷，加过清除默认声明映射的代码，才需要手动指定角色声明对应的类型，配置示例：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            // 你原有的验签配置全部保留，比如验签发方、验受众、签名密钥等
            ValidateIssuer = true,
            ValidateAudience = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Secret"])),
            // 仅当你清除过默认声明映射时，才需要加下面这行
            RoleClaimType = ClaimTypes.Role
        };
    });

3. 接口权限标注 #

直接使用原生的[Authorize]特性即可，不需要自定义特性，单角色、多角色场景都原生支持：

// 仅管理员可访问的接口
[HttpGet("admin/statistics")]
[Authorize(Roles = "Administrator")]
public IActionResult GetAdminStatistics()
{
    return Ok("管理员专属数据");
}

// 多角色场景用逗号分隔，满足任意一个角色即可访问
[HttpGet("order/list")]
[Authorize(Roles = "Administrator, Sales, WarehouseKeeper")]
public IActionResult GetOrderList()
{
    return Ok("订单列表数据");
}

补充说明 #

你之前构思的自定义角色校验特性属于重复造轮子，原生的角色授权逻辑已经覆盖了单角色、多角色匹配、和其他授权规则组合使用等常见场景，校验逻辑的稳定性和执行效率都比自行实现的版本更可靠，非特殊场景不需要额外开发。
如果后续需要更复杂的权限规则（比如同时校验角色、部门、数据权限范围），再考虑使用自定义授权策略即可，单纯的角色控制场景原生能力完全够用。

内容的提问来源于stack exchange，提问作者variable