控制器添加的Claim为何在后续请求的ActionFilter中无法获取？

这个问题我之前也踩过坑，核心原因其实是你添加的Claim只是临时存在当前请求的内存里，没有持久化或者同步到后续请求的身份凭证中，下面给你拆解清楚：

核心原因 #

你在控制器里执行的HttpContext.User.Identities.First(...).AddClaim(...)，本质上只是修改了当前请求上下文里的内存对象。当这次请求处理完，这个HttpContext对象就会被销毁，新的请求进来时，系统会重新从认证源（比如Cookie、数据库的用户Claim表）加载用户身份，自然看不到你之前临时添加的Claim。

另外补充个小细节：如果是同一个请求里，你在Action方法里加Claim，但Filter的ActionExecuting是在Action执行前触发的，那也拿不到——不过你说的是后续请求，所以这个是次要情况。

分场景解决办法 #

场景1：要让Claim在后续所有请求中生效（持久化） #

如果希望这个Claim一直存在，直到用户删除或者登出，得把它存到用户的身份存储里：

方法一：用UserManager持久化到数据库

这是最标准的做法，添加的Claim会存在AspNetUserClaims表中，后续请求自动加载：

// 先在控制器注入UserManager
private readonly UserManager<IdentityUser> _userManager;
public YourController(UserManager<IdentityUser> userManager)
{
    _userManager = userManager;
}

public async Task<IActionResult> AddPermanentClaim()
{
    var currentUser = await _userManager.GetUserAsync(User);
    if (currentUser == null) return NotFound();

    var newClaim = new Claim("your_custom_claim_type", "your_value");
    var result = await _userManager.AddClaimAsync(currentUser, newClaim);
    
    if (result.Succeeded)
    {
        // 可选：重新登录，让新Claim立即在当前请求之后生效
        await HttpContext.SignOutAsync(IdentityConstants.ApplicationScheme);
        await HttpContext.SignInAsync(IdentityConstants.ApplicationScheme, User);
    }

    return RedirectToAction("YourPage");
}

方法二：更新认证Cookie（会话级生效，不存数据库）

如果不想存数据库，只是想让Claim在当前用户会话（Cookie有效期内）的后续请求中生效，可以重新生成认证Cookie：

public async Task<IActionResult> AddSessionClaim()
{
    var identity = (ClaimsIdentity)User.Identity;
    identity.AddClaim(new Claim("your_custom_claim_type", "your_value"));

    // 重新生成Cookie，替换旧的身份凭证
    await HttpContext.SignInAsync(
        IdentityConstants.ApplicationScheme,
        new ClaimsPrincipal(identity),
        new AuthenticationProperties
        {
            IsPersistent = true, // 和原来的Cookie保持一致的持久化设置
            ExpiresUtc = DateTimeOffset.UtcNow.AddDays(7) // 按你的需求设置有效期
        });

    return RedirectToAction("YourPage");
}

场景2：只需要Claim在同一个请求的后续环节生效 #

如果你的需求是同一个请求里，Action添加Claim后，后续的Filter能拿到，那要调整Filter的执行时机：
ActionExecuting是在Action执行前跑的，所以拿不到Action里加的Claim，改用ActionExecuted（Action执行后触发）：

[AttributeUsage(AttributeTargets.Method)]
public class ClaimActionFilter : ActionFilterAttribute
{
    public override void OnActionExecuted(ActionExecutedContext context)
    {
        var targetClaim = context.HttpContext.User.Claims
            .FirstOrDefault(c => c.Type == "your_custom_claim_type");
        // 这里就能拿到Action里添加的Claim了
        base.OnActionExecuted(context);
    }
}

最后提醒个误区 #

一定要区分内存临时Claim和持久化/会话级Claim：直接改HttpContext.User只是“一次性”的，请求结束就没了；只有通过UserManager持久化，或者重新生成认证Cookie，才能让后续请求看到新添加的Claim。

内容的提问来源于stack exchange，提问作者MeanGreen