ASP.NET Core 5结合IdentityServer4实现Cookie/Oidc认证时角色授权无法识别

你碰到的是IdentityServer4搭配Cookie/OIDC认证流程里最常见的配置错位问题，哪怕你在端点上能明确看到role类型的声明存在，只要配置不对，授权逻辑就会判定用户没有对应权限，直接跳转拒绝访问页面。按以下优先级排查即可解决：

1. 最高概率根因：Cookie认证侧的角色声明类型未同步配置 #

你当前的代码仅在OIDC的配置块中设置了TokenValidationParameters.RoleClaimType = "role"，这个配置仅对OIDC Scheme的令牌校验、解析流程生效。
实际生产环境下，请求的身份校验、授权逻辑是基于默认的Cookie Scheme完成的：Cookie Scheme默认的角色声明类型是微软定义的URI格式http://schemas.microsoft.com/ws/2008/06/identity/claims/role，根本不会把你存在身份里的短名role识别为合法的角色声明。
这也是为啥你不管用[Authorize(Roles="Admin")]特性，还是配置全局授权策略加RequireRole("Admin")都不生效的核心原因——所有授权校验逻辑都是基于当前ClaimsIdentity绑定的RoleClaimType定义来找对应声明的，哪怕端点上能看到role声明存在，只要类型匹配不上，就会判定权限不足直接跳转拒绝访问页面。
解决方法：给Cookie的配置块补充对齐的角色、名称声明类型配置：

.AddCookie("Cookie", config =>
{
    config.AccessDeniedPath = "/Account/AccessDenied";
    // 与OIDC侧配置保持一致，告知Cookie侧哪个声明类型对应角色
    config.ClaimsIdentity.RoleClaimType = "role";
    config.ClaimsIdentity.NameClaimType = "name";
})

2. 多角色场景的映射配置错误 #

当前代码使用的MapUniqueJsonKey("role", "role", "role")仅支持单值的角色映射，如果你的IdentityServer配置了用户多角色，接口返回的是角色数组结构，这个映射方法会丢失多值，仅保留最后一个读取到的角色值。
解决方法：将原有的单值映射替换为支持多值的映射逻辑：

// 替换原有的MapUniqueJsonKey配置
config.ClaimActions.MapJsonKey("role", "role");

3. 登录流程的claim迁移逻辑缺失 #

如果改完以上配置还是不生效，需要确认OIDC登录回调时，从IdentityServer获取的角色claim有没有正确写入Cookie存储的ClaimsIdentity中。默认流程下OIDC返回的外部身份不会自动同步所有属性到Cookie的身份实例上。
解决方法：在OIDC的事件配置中补充身份属性同步逻辑：

config.Events = new OpenIdConnectEvents
{
    OnTokenValidated = context =>
    {
        // 获取OIDC解析完成的用户身份，同步角色声明类型配置
        var userIdentity = context.Principal.Identity as ClaimsIdentity;
        if (userIdentity != null)
        {
            userIdentity.RoleClaimType = "role";
        }
        return Task.CompletedTask;
    }
};

快速调试定位方法 #

可以在受保护的端点中临时加入调试代码，直接对比当前身份的实际claim和授权逻辑读取的角色列表，快速定位错位点：

// 在Action中临时插入调试代码
var allClaims = User.Claims.Select(c => new { c.Type, c.Value }).ToList();
// 打印授权逻辑实际识别到的当前用户角色值
var recognizedRoles = User.FindAll(claim => 
    claim.Type == ((ClaimsIdentity)User.Identity).RoleClaimType)
    .Select(r => r.Value).ToList();

内容的提问来源于stack exchange，提问作者antas