ASP.NET Core MVC中[Authorize(Roles = "Administrator")]授权失效问题求助

我之前也遇到过完全一样的问题！你已经把基础配置都做对了——角色、用户、关联记录都在数据库里，但授权还是不生效，核心问题大概率是角色Claims没有被正确注入到用户的身份凭证里，或者是中间件顺序搞反了。下面是我亲测有效的解决步骤：

1. 检查中间件顺序（最常见的坑） #

ASP.NET Core的中间件执行顺序非常关键，UseAuthentication()必须在UseAuthorization()之前，而且这两个中间件要放在UseRouting()之后、UseEndpoints()（或MapControllers()）之前。

.NET 6+ 顶层级Program.cs示例： #

var builder = WebApplication.CreateBuilder(args);

// ... 你的服务配置，包括AddDefaultIdentity那段

var app = builder.Build();

// ... 其他中间件（比如UseStaticFiles、UseExceptionHandler等）

app.UseRouting();

// 顺序不能错！先认证，再授权
app.UseAuthentication();
app.UseAuthorization();

app.MapControllers();
app.MapRazorPages(); // 如果用了Razor Pages

app.Run();

老版本Startup.cs示例： #

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    if (env.IsDevelopment())
    {
        app.UseDeveloperExceptionPage();
    }
    else
    {
        app.UseExceptionHandler("/Home/Error");
        app.UseHsts();
    }
    app.UseHttpsRedirection();
    app.UseStaticFiles();

    app.UseRouting();

    // 必须先执行认证，再执行授权
    app.UseAuthentication();
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllerRoute(
            name: "default",
            pattern: "{controller=Home}/{action=Index}/{id?}");
        endpoints.MapRazorPages();
    });
}

2. 确保角色Claims被正确添加到用户身份 #

默认的AddDefaultIdentity有时候不会自动把角色作为Claims添加到ClaimsPrincipal里，你需要显式配置Claims工厂：

方法一：使用内置的角色Claims工厂 #

在服务配置时，添加AddClaimsPrincipalFactory：

services.AddDefaultIdentity<IdentityUser>(options => options.SignIn.RequireConfirmedAccount = false)
    .AddRoles<IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>()
    // 启用包含角色的Claims工厂
    .AddClaimsPrincipalFactory<UserClaimsPrincipalFactory<IdentityUser, IdentityRole>>();

方法二：自定义Claims工厂（更灵活） #

如果上面的方法不生效，可以自己写一个Claims工厂，手动把角色添加到用户的Claims里：

using Microsoft.AspNetCore.Identity;
using Microsoft.Extensions.Options;
using System.Security.Claims;

public class CustomUserClaimsPrincipalFactory : UserClaimsPrincipalFactory<IdentityUser, IdentityRole>
{
    public CustomUserClaimsPrincipalFactory(
        UserManager<IdentityUser> userManager,
        RoleManager<IdentityRole> roleManager,
        IOptions<IdentityOptions> optionsAccessor)
        : base(userManager, roleManager, optionsAccessor)
    {
    }

    protected override async Task<ClaimsIdentity> GenerateClaimsAsync(IdentityUser user)
    {
        // 先调用基础方法生成默认Claims
        var identity = await base.GenerateClaimsAsync(user);
        // 获取用户的所有角色
        var roles = await UserManager.GetRolesAsync(user);
        // 把每个角色添加为Claim
        foreach (var role in roles)
        {
            identity.AddClaim(new Claim(ClaimTypes.Role, role));
        }
        return identity;
    }
}

然后在服务配置里注册这个自定义工厂：

services.AddScoped<IUserClaimsPrincipalFactory<IdentityUser>, CustomUserClaimsPrincipalFactory>();

3. 验证用户的Claims是否包含角色 #

可以在某个已授权的Action里加一段调试代码，查看当前用户的Claims里有没有角色：

public IActionResult Profile()
{
    // 打印当前用户的所有角色Claims
    var userRoles = User.Claims
        .Where(c => c.Type == ClaimTypes.Role)
        .Select(c => c.Value)
        .ToList();
    
    // 可以在这里打个断点，或者把roles传递到页面查看
    ViewBag.UserRoles = userRoles;
    return View();
}

如果这里看不到Administrator角色，那说明前面的Claims工厂或者中间件配置有问题。

4. 检查数据库关联记录的正确性 #

确认AspNetUserRoles表里的用户ID和角色ID关联是正确的，同时注意角色名的大小写——默认的角色授权是大小写敏感的，如果你的角色名是Administrator，不要在[Authorize(Roles = "administrator")]里用小写。

按照上面的步骤排查，基本就能解决角色授权不生效的问题了！

内容的提问来源于stack exchange，提问作者Piotr