我来帮你捋捋这个权限拒绝的问题，大概率是角色声明没正确加载到用户身份信息里，或者有配置细节没注意到，咱们一步步来排查解决：

1. 先确认用户角色是否真的正确关联 #

首先，你可以临时给Index方法加一段调试代码，看看当前登录的管理员用户到底有没有携带Administrator角色的权限信息：

[HttpGet]
public async Task<IActionResult> Index() {
    // 临时调试代码，确认后可删除
    var currentUser = await _userManager.GetUserAsync(User);
    var userRoles = await _userManager.GetRolesAsync(currentUser);
    ViewBag.CurrentUserRoles = string.Join(", ", userRoles);
    ViewBag.UserClaims = string.Join(", ", User.Claims.Select(c => $"{c.Type}: {c.Value}"));

    // 原有业务代码不变
    var admin = await _userManager.GetUsersInRoleAsync(Constants.AdministratorRole);
    var pharmacies = await _userManager.GetUsersInRoleAsync(Constants.PharmarcyRole);
    var patients = await _userManager.GetUsersInRoleAsync(Constants.PatientRole);
    var everyone = await _userManager.Users.ToArrayAsync();
    var model = new ManageUsersViewModel {
        Administrators = admin,
        Pharmacists = pharmacies,
        Patients = patients,
        Everyone = everyone
    };
    return View(model);
}

访问页面后查看页面输出的信息：

• 如果CurrentUserRoles里没有Administrator，说明用户和角色的关联没生效，去数据库的AspNetUserRoles表里检查是否有该用户与角色的关联记录；或者确认EnsureTestAdminAsync方法是否因为用户已存在，跳过了添加角色的步骤。
• 如果CurrentUserRoles包含Administrator，但UserClaims里找不到类似http://schemas.microsoft.com/ws/2008/06/identity/claims/role: Administrator的声明，那就是Identity没把角色信息注入到用户的身份凭证中，需要调整配置。

2. 显式配置Identity确保角色声明被添加 #

ASP.NET Core Identity默认会自动把角色加到Claims里，但有时候可能因为隐式配置问题没生效，咱们显式补充配置：
在Startup.cs的ConfigureServices方法里，给AddIdentity补充配置：

services.AddIdentity<ApplicationUser, IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>()
    .AddDefaultTokenProviders()
    // 新增两行，确保角色管理与验证逻辑正常运行
    .AddRoleValidator<RoleValidator<IdentityRole>>()
    .AddRoleManager<RoleManager<IdentityRole>>();

// 明确指定角色声明类型，避免隐式配置偏差
services.Configure<IdentityOptions>(options =>
{
    options.ClaimsIdentity.RoleClaimType = System.Security.Claims.ClaimTypes.Role;
});

3. 确认中间件顺序无误 #

你的Configure方法里中间件顺序是正确的：UseStaticFiles → UseAuthentication → UseMvc，这个顺序不能颠倒，UseAuthentication必须在UseMvc之前，这样MVC处理请求前才能完成身份验证，这点你已经做对了，再确认一遍即可。

4. 检查角色名称的拼写一致性 #

确保所有场景下使用的角色名称完全一致：比如Constants.AdministratorRole是"Administrator"，数据库AspNetRoles表里的Name字段也必须是一模一样的字符串，大小写、拼写都不能出错（比如你代码里的PharmarcyRole少了一个c，虽然不影响管理员角色，但这类细节要注意）。

5. 清除缓存并重新登录 #

有时候浏览器会缓存旧的身份凭证，导致新添加的角色信息无法生效。你可以：

• 清除浏览器的缓存与Cookie
• 或者用隐私模式打开页面，重新登录管理员账号

6. 尝试基于策略的授权（备选方案） #

如果上面的方法都没解决问题，可以换用基于策略的授权方式，这种方式稳定性更高：
首先在ConfigureServices里添加授权策略：

services.AddAuthorization(options =>
{
    options.AddPolicy("RequireAdmin", policy =>
        policy.RequireRole(Constants.AdministratorRole));
});

然后在控制器上替换原来的Authorize标签：

[Authorize(Policy = "RequireAdmin")]
[Route("[controller]/[action]")]
public class ManageUsersController : Controller {
    // ... 原有代码
}

按照上面的步骤排查，基本上就能解决问题了，最常见的情况就是角色关联没同步到身份凭证里，重新登录或者检查数据库记录就能搞定。

内容的提问来源于stack exchange，提问作者lightup