在IdentityServer3应用的自定义MVC控制器中使用Authorize授权

我来帮你梳理下在IdentityServer3同应用内的MVC控制器中正确实现角色授权的步骤——毕竟我之前也处理过类似的场景，踩过一些小坑，分享给你：

1. 确保MVC控制器接入IdentityServer认证管道 #

首先得让你的MVC控制器所在的请求管道，和IdentityServer共享同一个认证会话。在Startup.cs的Configure方法里，要按顺序注册中间件：先加IdentityServer，再配置Cookie认证（复用IdentityServer的会话Cookie），最后才注册MVC路由：

app.UseIdentityServer();

// 配置Cookie认证，和IdentityServer共享会话
app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = "Cookies",
    CookieName = IdentityServerConstants.DefaultCookieName,
    // 可选：添加安全戳验证，自动刷新用户身份信息
    Provider = new CookieAuthenticationProvider
    {
        OnValidateIdentity = SecurityStampValidator.OnValidateIdentity<ApplicationUserManager, ApplicationUser>(
            validateInterval: TimeSpan.FromMinutes(30),
            regenerateIdentity: (manager, user) => user.GenerateUserIdentityAsync(manager))
    }
});

// 最后注册MVC路由
app.UseMvc(routes =>
{
    routes.MapRoute(
        name: "default",
        template: "{controller=Home}/{action=Index}/{id?}");
});

2. 确保用户角色被正确注入到Claims中 #

Authorize属性识别角色的核心是：用户登录后，其ClaimsPrincipal里必须包含ClaimTypes.Role类型的声明。你需要根据用户数据的存储方式来配置：

如果用ASP.NET Identity存储用户 #

在ApplicationUser类的GenerateUserIdentityAsync方法里，手动添加角色声明：

public async Task<ClaimsIdentity> GenerateUserIdentityAsync(UserManager<ApplicationUser> manager)
{
    var userIdentity = await manager.CreateIdentityAsync(this, DefaultAuthenticationTypes.ApplicationCookie);
    // 从Identity中获取用户角色并添加到Claims
    var userRoles = await manager.GetRolesAsync(this.Id);
    foreach (var role in userRoles)
    {
        userIdentity.AddClaim(new Claim(ClaimTypes.Role, role));
    }
    return userIdentity;
}

如果自定义IUserService提供用户数据 #

在GetProfileDataAsync方法里，把角色加入到返回的Claims集合中：

public async Task GetProfileDataAsync(ProfileDataRequestContext context)
{
    var userId = context.Subject.GetSubjectId();
    var user = await _userRepository.GetUserByIdAsync(userId);
    var userRoles = await _userRepository.GetUserRolesAsync(userId);

    var claims = new List<Claim>
    {
        new Claim(JwtClaimTypes.Subject, userId),
        new Claim(JwtClaimTypes.Name, user.UserName)
        // 其他必要声明
    };
    // 添加角色声明
    claims.AddRange(userRoles.Select(r => new Claim(JwtClaimTypes.Role, r)));

    context.IssuedClaims = claims;
}

3. 在控制器/Action上使用Authorize属性 #

现在就可以直接在需要权限控制的地方加属性了，比如：

整个控制器需要特定角色 #

[Authorize(Roles = "Admin")]
public class AdminPanelController : Controller
{
    public ActionResult ManageUsers()
    {
        // 仅Admin角色用户可访问
        return View();
    }
}

单个Action需要多角色支持 #

public class UserController : Controller
{
    public ActionResult Register()
    {
        return View();
    }

    [Authorize(Roles = "Admin,Moderator")]
    public ActionResult DeleteUser(string userId)
    {
        // Admin或Moderator角色用户可访问
        // 处理删除逻辑
        return RedirectToAction("UserList");
    }
}

4. 自定义未授权跳转逻辑 #

默认情况下，无权限用户会被跳转到IdentityServer的登录页。如果想自定义未授权提示，可以在Cookie认证配置里指定AccessDeniedPath：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    // 其他配置
    AccessDeniedPath = new PathString("/Account/AccessDenied")
});

然后创建对应的Action：

public class AccountController : Controller
{
    public ActionResult AccessDenied()
    {
        ViewBag.Message = "你没有权限访问该页面";
        return View();
    }
}

关键注意事项 #

• 你已经设置了MVC控制器和IdentityServer使用相同基础路由，这一步很关键，能避免会话不一致的问题，一定要保持这个配置。
• 中间件的注册顺序不能乱：UseIdentityServer必须在UseCookieAuthentication和UseMvc之前，否则认证逻辑会失效。
• 如果用户角色有更新，要确保Claims能及时刷新（比如用安全戳验证，或者让用户重新登录）。

内容的提问来源于stack exchange，提问作者pyordanov11