IdentityServer4中对ASP.NET Core Identity Roles原生支持的咨询

核心结论 #

IdentityServer4完全原生支持ASP.NET Core MVC控制器的角色授权功能，不需要自行编写Action Filter，你之前实测不生效的核心原因是缺少声明类型映射的配置步骤，不属于功能不支持的问题。

具体配置步骤 #

你只需要完成IdentityServer服务端和MVC客户端两处配置即可正常使用原生[Authorize(Roles = "xxx")]注解：

1. IdentityServer服务端配置 #

• 在身份资源配置中新增角色专属的身份资源，确保角色声明会被下发到客户端，示例配置如下：

// Config.cs 中的身份资源配置方法
public static IEnumerable<IdentityResource> GetIdentityResources()
{
    return new List<IdentityResource>
    {
        new IdentityResources.OpenId(),
        new IdentityResources.Profile(),
        // 新增角色身份资源，包含role声明
        new IdentityResource("roles", "用户角色", new List<string> { JwtClaimTypes.Role })
    };
}

• 在对应的MVC客户端配置的AllowedScopes字段中添加roles，允许客户端获取角色声明。
• 如果你使用ASP.NET Core Identity存储用户数据，需要实现IProfileService接口，在GetProfileDataAsync方法中将用户的角色信息添加到返回的声明集合中，确保角色会被写入ID Token。

2. MVC客户端配置 #

这一步是最容易遗漏的核心配置：ASP.NET Core默认的角色声明类型为http://schemas.microsoft.com/ws/2008/06/identity/claims/role，而IdentityServer4下发的角色声明类型为role，两者不匹配导致框架无法识别到角色信息，需要手动配置映射：

// Startup.cs ConfigureServices 方法中的认证配置
services.AddAuthentication(options =>
{
    options.DefaultScheme = "Cookies";
    options.DefaultChallengeScheme = "oidc";
})
.AddCookie("Cookies")
.AddOpenIdConnect("oidc", options =>
{
    options.Authority = "你的IdentityServer服务地址";
    options.ClientId = "你注册的MVC客户端ID";
    options.ClientSecret = "你设置的客户端密钥";
    options.ResponseType = "code";
    options.SaveTokens = true;

    // 请求角色权限范围
    options.Scope.Add("roles");
    options.GetClaimsFromUserInfoEndpoint = true;

    // 配置声明类型映射，让框架识别到IS4下发的角色和用户名
    options.TokenValidationParameters = new TokenValidationParameters
    {
        NameClaimType = "name",
        RoleClaimType = "role"
    };
});

效果验证 #

完成上述配置后，直接在控制器或Action方法上添加原生注解即可实现角色控制，不需要任何自定义Filter：

[Authorize(Roles = "Admin")]
public class AdminController : Controller
{
    // 只有Admin角色的用户可以访问
    public IActionResult Index()
    {
        return View();
    }
}

你之前自行实现的ActionFilter可以直接移除，原生的授权机制经过官方安全验证，稳定性和安全性都远高于自定义实现，也不需要额外维护。

内容的提问来源于stack exchange，提问作者drunkenwagoner