ASP.NET Core Identity多项目结合IdentityServer4角色授权异常咨询

咱们来一步步拆解你的两个问题：

项目1作为IdentityServer4的宿主项目，它本身是直接基于ASP.NET Identity做身份验证的——简单说，它的用户、角色数据直接从本地数据库读取，完全不依赖项目2的任何配置。当你在项目1的控制器/Action上标注[Authorize(Roles = "user")]时，ASP.NET Core的授权系统会直接查询本地数据库里当前用户的角色信息，独立完成校验。这个过程和项目2（MVC客户端）是否配置角色、是否正常运行完全无关，所以不管项目2有没有设置角色，项目1都能自己搞定授权，自然不会报错。

核心原因是IdentityServer4默认不会把角色信息包含在颁发给客户端的令牌（id_token/access_token）里，客户端拿到的用户声明里没有角色数据，授权系统找不到对应的角色，就会抛出异常。要解决这个问题，需要从IS4服务端和客户端两方面配置：

第一步：在IdentityServer4项目中配置角色声明的传递 #

1. 添加角色身份资源
   在你的IS4配置类（比如Config.cs）里，把roles添加到身份资源列表，告诉IS4可以将角色作为可公开的声明传递给客户端：

public static IEnumerable<IdentityResource> IdentityResources =>
    new List<IdentityResource>
    {
        new IdentityResources.OpenId(),
        new IdentityResources.Profile(),
        // 添加角色资源
        new IdentityResource(
            name: "roles",
            displayName: "用户角色",
            userClaims: new List<string> { JwtClaimTypes.Role })
    };

2. 更新客户端配置
   在同一个配置类的客户端列表里，给MVC客户端添加roles权限范围：

new Client
{
    ClientId = "你的MVC客户端ID",
    ClientName = "MVC客户端",
    // 其他基础配置（比如ClientSecret、AllowedGrantTypes等）...
    AllowedScopes = {
        IdentityServerConstants.StandardScopes.OpenId,
        IdentityServerConstants.StandardScopes.Profile,
        "roles" // 新增这个权限范围
    }
}

3. 实现ProfileService传递角色声明
   IS4需要明确把用户的角色添加到令牌中，所以要实现IProfileService接口来扩展声明的生成逻辑：

public class CustomProfileService : IProfileService
{
    private readonly UserManager<ApplicationUser> _userManager;
    private readonly RoleManager<IdentityRole> _roleManager;

    public CustomProfileService(UserManager<ApplicationUser> userManager, RoleManager<IdentityRole> roleManager)
    {
        _userManager = userManager;
        _roleManager = roleManager;
    }

    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        // 获取当前登录用户
        var user = await _userManager.GetUserAsync(context.Subject);
        if (user == null) return;

        // 获取用户的角色列表
        var userRoles = await _userManager.GetRolesAsync(user);
        var roleClaims = new List<Claim>();

        foreach (var roleName in userRoles)
        {
            // 添加角色声明到令牌
            roleClaims.Add(new Claim(JwtClaimTypes.Role, roleName));
            // 可选：如果角色本身还有附加声明，也一起添加
            var role = await _roleManager.FindByNameAsync(roleName);
            if (role != null)
            {
                roleClaims.AddRange(await _roleManager.GetClaimsAsync(role));
            }
        }

        context.IssuedClaims.AddRange(roleClaims);
    }

    public async Task IsActiveAsync(IsActiveContext context)
    {
        var user = await _userManager.GetUserAsync(context.Subject);
        // 标记用户是否处于有效状态
        context.IsActive = user != null && user.EmailConfirmed;
    }
}

然后在Program.cs里注册这个服务：

builder.Services.AddScoped<IProfileService, CustomProfileService>();

第二步：在MVC客户端项目中配置角色声明映射 #

客户端拿到令牌后，需要把IS4返回的角色声明映射到ASP.NET Core授权系统默认识别的ClaimTypes.Role类型：
在客户端的Program.cs里，修改OpenID Connect的配置：

builder.Services.AddAuthentication(options =>
{
    options.DefaultScheme = "Cookies";
    options.DefaultChallengeScheme = "oidc";
})
.AddCookie("Cookies")
.AddOpenIdConnect("oidc", options =>
{
    options.Authority = "你的IS4服务地址";
    options.ClientId = "你的MVC客户端ID";
    options.ClientSecret = "你的客户端密钥";
    options.ResponseType = "code";
    // 必须添加roles权限范围
    options.Scope.Add("roles");
    options.SaveTokens = true;

    // 映射角色声明到ASP.NET Core默认识别的类型
    options.ClaimActions.MapJsonKey(ClaimTypes.Role, "role");
    // 明确指定令牌验证时的角色声明类型
    options.TokenValidationParameters = new TokenValidationParameters
    {
        RoleClaimType = ClaimTypes.Role
    };
});

做完这些配置后，客户端项目的[Authorize(Roles = "user")]就能正常校验用户角色了。

内容的提问来源于stack exchange，提问作者Doro