.NET 6 MVC集成Azure MS Identity Platform时角色校验不生效问题

问题原因 #

角色校验全部不通过是两个配置问题导致的：

1. 配置执行顺序错误：你在AddMicrosoftIdentityWebApp注册完成后，单独通过Configure<OpenIdConnectOptions>修改RoleClaimType，但AddMicrosoftIdentityWebApp内部会自带一套OpenID Connect选项的默认配置，后注册的外部配置会被内部默认规则覆盖，你设置的RoleClaimType根本没有生效。
2. 缺少Claim映射关闭配置：AddMicrosoftIdentityWebApp默认开启入站Claim映射（MapInboundClaims = true），会自动重命名、转换Azure AD返回令牌里的Claim结构，原始存应用角色的roles声明会被改写，导致角色校验逻辑找不到对应的角色值。

修复方案 #

删掉你单独写的那段builder.Services.Configure<OpenIdConnectOptions>代码，把角色相关配置直接合并到AddMicrosoftIdentityWebApp的配置委托中，同时关闭默认入站Claim映射。修改后的服务注册代码如下：

var builder = WebApplication.CreateBuilder(args);

var initialScopes = builder.Configuration["DownstreamApi:Scopes"]?.Split(' ') ?? 
builder.Configuration["MicrosoftGraph:Scopes"]?.Split(' ');

// Add services to the container.
builder.Services.AddAuthentication(OpenIdConnectDefaults.AuthenticationScheme)
.AddMicrosoftIdentityWebApp(options =>
{
    // 绑定原有AzureAD配置
    builder.Configuration.GetSection("AzureAd").Bind(options);
    // 指定角色从令牌的roles声明提取
    options.TokenValidationParameters.RoleClaimType = "roles";
    // 关闭默认Claim映射，避免roles声明被改写
    options.MapInboundClaims = false;
})
.EnableTokenAcquisitionToCallDownstreamApi(initialScopes)
    .AddMicrosoftGraph(builder.Configuration.GetSection("MicrosoftGraph"))
    .AddInMemoryTokenCaches();

builder.Services.AddAuthorization(options =>
{
    options.FallbackPolicy = options.DefaultPolicy;
});

// 项目原有其他服务注册（如AddControllersWithViews、AddRazorPages等）保持不变

修改完成后重启应用重新登录，User.IsInRole(roleName)即可正常返回校验结果。如果需要调试，可以在任意接口中遍历User.Claims，能看到类型为roles、值为你分配的应用角色名的声明，就说明配置生效了。

你提到其他同类项目可以正常校验，是因为那些项目要么直接在AddMicrosoftIdentityWebApp内部做了上述配置，要么使用的是旧版本Microsoft.Identity.Web包，默认映射规则和当前版本不一致。

内容的提问来源于stack exchange，提问作者Cef