OIDC返回的access_token/id_token无Role信息，能否注入角色避免每页查询？

方案1：在.NET Core认证中间件层注入角色声明（最推荐，无需额外接口、无需修改token结构） #

你可以直接复用ASP.NET Core自带的OpenID Connect认证中间件的生命周期事件，在token验证通过后直接完成角色查询和注入，全程对业务层透明：

• 配置AddOpenIdConnect时订阅OnTokenValidated事件，该事件会在OIDC返回的token校验通过后立即触发
• 从token的claims中取出用户email，查询自有数据库获取对应角色
• 将角色转为ClaimTypes.Role类型的声明，添加到当前用户的ClaimsIdentity中

示例代码：

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = CookieAuthenticationDefaults.AuthenticationScheme;
    options.DefaultChallengeScheme = OpenIdConnectDefaults.AuthenticationScheme;
})
.AddCookie()
.AddOpenIdConnect(options =>
{
    // 你的OIDC基础配置省略
    options.Events = new OpenIdConnectEvents
    {
        OnTokenValidated = async context =>
        {
            var email = context.Principal.FindFirstValue(ClaimTypes.Email);
            // 从数据库查询角色，注入你的用户服务实现即可
            var role = await _userService.GetRoleByEmail(email);
            // 添加角色声明
            var claimsIdentity = (ClaimsIdentity)context.Principal.Identity;
            claimsIdentity.AddClaim(new Claim(ClaimTypes.Role, role));
        }
    };
});

配置完成后，后端接口可以直接通过User.IsInRole("xxx")判断权限，前端也可以在首次登录后从用户信息接口一次性拿到角色缓存到本地，不需要每页调用接口。

方案2：生成包含角色的自定义Token（适合前后端分离用JWT认证的场景） #

如果外部OIDC服务商不支持自定义声明注入，你可以做一次token交换：

• 用户拿到OIDC返回的access_token后，先调用你后端的token-exchange接口
• 后端验证OIDC token有效性，通过email查询角色后，自行签发一个包含角色声明的自定义JWT返回给前端
• 前端后续所有请求都携带这个自定义JWT，角色信息直接从token解析即可，无需额外查询

方案3：前端缓存角色信息（改造成本最低） #

如果不想改动认证逻辑，可以在前端第一次获取角色后，将角色和token的过期时间一起存在localStorage或者sessionStorage中：

• 只有用户首次登录、或者token刷新/过期时，才调用一次角色查询接口
• 后续页面跳转直接读取本地缓存的角色做权限判断
• 注意增加角色变更的刷新机制，比如后端可以在角色变更时给前端发通知，前端主动清除缓存重新拉取角色

你当前的每页调用接口的方案会产生大量冗余请求，还容易出现页面渲染时权限未返回导致的展示异常，不建议继续使用。

内容的提问来源于stack exchange，提问作者tickwave