Identity Core JWT角色授权问题：如何存储角色并实现角色权限验证

你之前的核心困惑在于没用到Identity内置的多对多角色管理体系，自定义的Role属性没法被ASP.NET的授权系统识别。下面我给你一步步梳理实操方案：

1. 先配置Identity支持角色存储 #

首先确保你的DbContext继承支持角色的IdentityDbContext，这样数据库才会自动生成角色表（AspNetRoles）和用户角色关联表（AspNetUserRoles）：

public class ApplicationDbContext : IdentityDbContext<ApplicationUser, IdentityRole, string>
{
    public ApplicationDbContext(DbContextOptions<ApplicationDbContext> options)
        : base(options)
    {
    }
}

然后在Program.cs（或Startup.cs）里注册Identity时，明确启用角色支持：

builder.Services.AddDefaultIdentity<ApplicationUser>(options => options.SignIn.RequireConfirmedAccount = true)
    .AddRoles<IdentityRole>() // 启用角色管理功能
    .AddEntityFrameworkStores<ApplicationDbContext>();

最后别忘了生成数据库迁移并更新：

Add-Migration AddRolesSupport
Update-Database

2. 注册时为用户分配指定角色 #

注册流程里，你需要先确保目标角色存在（如果不存在就创建），再把用户添加到对应角色中。这里用到RoleManager和UserManager两个核心服务：

[HttpPost("register")]
public async Task<IActionResult> Register(RegisterModel model)
{
    if (!ModelState.IsValid) return BadRequest(ModelState);

    var user = new ApplicationUser { UserName = model.Email, Email = model.Email };
    var createResult = await _userManager.CreateAsync(user, model.Password);

    if (!createResult.Succeeded) return BadRequest(createResult.Errors);

    // 步骤1：确保目标角色存在（比如Developer、Manager）
    var requiredRoles = new[] { "Developer", "Manager" };
    foreach (var roleName in requiredRoles)
    {
        var roleExists = await _roleManager.RoleExistsAsync(roleName);
        if (!roleExists)
        {
            await _roleManager.CreateAsync(new IdentityRole(roleName));
        }
    }

    // 步骤2：给当前注册用户分配指定角色（比如默认分配Developer）
    var assignResult = await _userManager.AddToRoleAsync(user, "Developer");
    if (!assignResult.Succeeded) return BadRequest(assignResult.Errors);

    return Ok("注册成功并分配角色");
}

3. 登录时从数据库获取角色并写入JWT #

修改你的GenerateJwtToken方法，不再手动添加角色声明，而是通过UserManager.GetRolesAsync(user)从数据库获取用户的所有角色，再转换成Claim添加到JWT中：

private async Task<string> GenerateJwtToken(ApplicationUser user)
{
    var claims = new List<Claim>
    {
        new Claim(JwtRegisteredClaimNames.Sub, user.Id),
        new Claim(JwtRegisteredClaimNames.Email, user.Email),
        new Claim(JwtRegisteredClaimNames.Jti, Guid.NewGuid().ToString())
    };

    // 从数据库获取用户的所有角色，添加到Claims集合
    var userRoles = await _userManager.GetRolesAsync(user);
    foreach (var role in userRoles)
    {
        claims.Add(new Claim(ClaimTypes.Role, role));
    }

    var key = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(_configuration["Jwt:Key"]));
    var creds = new SigningCredentials(key, SecurityAlgorithms.HmacSha256);

    var token = new JwtSecurityToken(
        issuer: _configuration["Jwt:Issuer"],
        audience: _configuration["Jwt:Audience"],
        claims: claims,
        expires: DateTime.Now.AddMinutes(30),
        signingCredentials: creds);

    return new JwtSecurityTokenHandler().WriteToken(token);
}

4. 配置JWT认证以识别角色声明 #

确保在Program.cs的JWT认证配置中，指定角色声明的类型为ClaimTypes.Role，这样[Authorize(Roles="xxx")]才能正确解析：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidateAudience = true,
            ValidateLifetime = true,
            ValidateIssuerSigningKey = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidAudience = builder.Configuration["Jwt:Audience"],
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"])),
            // 指定角色声明的类型，和我们添加的Claim类型一致
            RoleClaimType = ClaimTypes.Role
        };
    });

5. 验证角色授权 #

现在你就可以在控制器或Action上使用角色授权了：

// 只允许Manager角色访问
[Authorize(Roles = "Manager")]
[HttpGet("manager-only")]
public IActionResult ManagerOnly()
{
    return Ok("只有Manager能看到这个内容");
}

// 允许Developer或Manager访问
[Authorize(Roles = "Developer,Manager")]
[HttpGet("dev-or-manager")]
public IActionResult DevOrManager()
{
    return Ok("开发者或管理者可访问");
}

为什么自定义Role属性没用？ #

因为ASP.NET Core Identity的角色系统是多对多关联（一个用户可以属于多个角色，一个角色可以包含多个用户），它依赖内置的AspNetRoles和AspNetUserRoles表来管理关联关系。你自定义的单个Role属性只是用户表的一个字段，没法被Identity的授权中间件识别，所以必须用官方提供的角色管理API。

内容的提问来源于stack exchange，提问作者michasaucer