.NET 4.7.2中基于JWT实现带角色的[Authorize]授权问题

嗨，我来帮你搞定这个.NET 4.7.2里基于JWT嵌套声明的角色授权问题！你遇到的401问题主要是因为角色声明没被正确识别，加上ApplicationPrincipal的Identity初始化有问题，咱们一步步来解决：

要让[Authorize(Roles = "randomName")]生效，关键是要把JWT里嵌套的角色值提取出来，转换成.NET身份系统能识别的ClaimTypes.Role类型声明，同时确保ApplicationPrincipal和ApplicationIdentity能正确处理这些角色声明。

1. 提取JWT中的嵌套角色声明 #

首先在你的TokenValidationHandler里，完成JWT验证后，需要解析嵌套的http://clients属性，把api.version1对应的角色值提取出来，添加到ClaimsPrincipal的声明集合中。

示例代码（假设你用Newtonsoft.Json处理JSON解析，这是.NET 4.7.2的常用选择）：

protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
{
    // 获取验证后的ClaimsPrincipal
    var principal = request.GetRequestContext().Principal as ClaimsPrincipal;
    if (principal != null)
    {
        // 找到嵌套的clients声明
        var clientsClaim = principal.Claims.FirstOrDefault(c => c.Type == "http://clients");
        if (clientsClaim != null && !string.IsNullOrEmpty(clientsClaim.Value))
        {
            // 解析JSON嵌套结构
            var clientsObj = JsonConvert.DeserializeObject<JObject>(clientsClaim.Value);
            var targetRole = clientsObj["api"]?["version1"]?.ToString();
            
            if (!string.IsNullOrEmpty(targetRole))
            {
                // 将角色添加到ClaimsIdentity中
                var claimsIdentity = principal.Identity as ClaimsIdentity;
                claimsIdentity.AddClaim(new Claim(ClaimTypes.Role, targetRole));
            }
        }
    }

    return await base.SendAsync(request, cancellationToken);
}

2. 修复ApplicationPrincipal与ApplicationIdentity的初始化问题 #

之前你添加的仅接收IPrincipal的构造函数导致Identity为null，是因为没有正确初始化自定义的ApplicationIdentity。我们需要调整这两个类的构造逻辑，确保能正确承载角色声明：

调整ApplicationIdentity #

public class ApplicationIdentity : IIdentity
{
    private readonly ClaimsIdentity _innerIdentity;

    // 新增接收ClaimsIdentity的构造函数
    public ApplicationIdentity(ClaimsIdentity innerIdentity)
    {
        _innerIdentity = innerIdentity;
        Name = _innerIdentity.Name;
        AuthenticationType = _innerIdentity.AuthenticationType;
        IsAuthenticated = _innerIdentity.IsAuthenticated;
    }

    // 保留你原来的其他构造逻辑（如果有的话）

    // 实现IIdentity的属性
    public string Name { get; }
    public string AuthenticationType { get; }
    public bool IsAuthenticated { get; }

    // 方便后续检查角色的辅助方法
    public bool HasRole(string role)
    {
        return _innerIdentity?.HasClaim(ClaimTypes.Role, role) ?? false;
    }
}

调整ApplicationPrincipal #

public class ApplicationPrincipal : IPrincipal
{
    private readonly ApplicationIdentity _identity;

    // 新增接收ApplicationIdentity的构造函数
    public ApplicationPrincipal(ApplicationIdentity identity)
    {
        _identity = identity;
    }

    // 保留你原来接收IPrincipal和UserAccount的构造函数
    public ApplicationPrincipal(IPrincipal principal, UserAccount userAccount)
    {
        // 原来的逻辑，比如从principal和userAccount初始化属性
    }

    public IIdentity Identity => _identity;

    // 关键：实现IsInRole方法，让Authorize特性能正确识别角色
    public bool IsInRole(string role)
    {
        return _identity?.HasRole(role) ?? false;
    }
}

3. 更新TokenValidationHandler中的Principal设置 #

在完成角色声明提取后，把ClaimsPrincipal转换成你的自定义ApplicationPrincipal，替换请求上下文的Principal：

// 接第一步的代码，在添加完角色声明后：
var appIdentity = new ApplicationIdentity(claimsIdentity);
var appPrincipal = new ApplicationPrincipal(appIdentity);
request.GetRequestContext().Principal = appPrincipal;

为什么之前会返回401？ #

[Authorize(Roles)]特性内部会调用IPrincipal.IsInRole()方法验证角色，之前你的ApplicationPrincipal要么Identity为null，要么IsInRole方法没有正确处理JWT里的嵌套角色，导致授权验证失败，返回401。现在通过提取角色声明、修正IsInRole逻辑，就能让授权流程正常工作了。

内容的提问来源于stack exchange，提问作者zezz