基于IdentityServer4的Web API角色权限授权配置问题

首先咱们先抓核心问题：你的MVC应用能正常识别角色并完成授权，说明IdentityServer在身份令牌（ID Token）层面的角色配置是没问题的，但访问令牌（Access Token）里大概率没包含角色声明，或者Web API端没正确配置授权逻辑来识别这些角色。下面一步步来排查解决：

步骤1：确保Access Token中包含角色声明 #

你在IdentityServer的ApiResource里已经加了UserClaims = { "role" }，这一步是对的，但默认情况下AspNetIdentity的角色不会自动注入到Access Token里，尤其是Hybrid模式下。咱们需要自定义IProfileService来确保角色被包含进Access Token：

public class CustomProfileService : IProfileService
{
    private readonly UserManager<ApplicationUser> _userManager;
    private readonly RoleManager<IdentityRole> _roleManager;

    public CustomProfileService(UserManager<ApplicationUser> userManager, RoleManager<IdentityRole> roleManager)
    {
        _userManager = userManager;
        _roleManager = roleManager;
    }

    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        var user = await _userManager.GetUserAsync(context.Subject);
        var roles = await _userManager.GetRolesAsync(user);

        // 把用户角色添加到发行的声明中
        var roleClaims = roles.Select(r => new Claim(JwtClaimTypes.Role, r));
        context.IssuedClaims.AddRange(roleClaims);

        // 可选：添加用户的其他自定义声明
        var userClaims = await _userManager.GetClaimsAsync(user);
        context.IssuedClaims.AddRange(userClaims);
    }

    public async Task IsActiveAsync(IsActiveContext context)
    {
        var user = await _userManager.GetUserAsync(context.Subject);
        context.IsActive = user != null;
    }
}

然后在IdentityServer的Startup.cs里注册这个服务：

services.AddIdentityServer()
    .AddDeveloperSigningCredential()
    .AddInMemoryPersistedGrants()
    .AddInMemoryIdentityResources(Config.GetIdentityResources())
    .AddInMemoryApiResources(Config.GetApiResources())
    .AddInMemoryClients(Config.GetClients())
    .AddAspNetIdentity<ApplicationUser>()
    .AddProfileService<CustomProfileService>(); // 新增这一行

步骤2：正确配置Web API的认证与授权 #

你没贴Web API的Startup.cs，这是关键环节！Web API需要配置中间件来验证IdentityServer的Access Token，并正确映射角色声明：

public void ConfigureServices(IServiceCollection services)
{
    services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_0);

    // 配置Bearer认证
    services.AddAuthentication("Bearer")
        .AddJwtBearer("Bearer", options =>
        {
            options.Authority = "http://localhost:5000"; // IdentityServer的地址
            options.RequireHttpsMetadata = false;
            options.Audience = "TCSAPI"; // 与IdentityServer中ApiResource的名称完全一致
            // 指定角色声明的类型，和IdentityServer保持统一
            options.TokenValidationParameters = new TokenValidationParameters
            {
                RoleClaimType = "role"
            };
        });

    // 启用授权服务
    services.AddAuthorization();
}

public void Configure(IApplicationBuilder app, IHostingEnvironment env)
{
    // 注意中间件顺序：认证在前，授权在后
    app.UseAuthentication();
    app.UseAuthorization();

    app.UseMvc();
}

步骤3：验证Access Token内容 #

可以用JWT解码工具（本地解析即可，不用上传数据）检查你的Access Token，确认里面是否包含role字段。如果没有，要么是ProfileService没生效，要么是MVC端请求的Scope没包含role和TCSAPI（你的MVC配置里已经加了，这部分没问题）。

另外，MVC调用Web API时，一定要用Access Token而不是ID Token，示例代码如下：

var accessToken = await HttpContext.GetTokenAsync("access_token");
var client = new HttpClient();
client.SetBearerToken(accessToken);
var response = await client.GetAsync("http://localhost:5001/api/protected"); // 替换为你的Web API地址

步骤4：Web API控制器的授权注解 #

确保Web API的控制器/Action上用了正确的授权标记，比如：

[Authorize(Roles = "Admin")]
[ApiController]
[Route("api/[controller]")]
public class ProtectedController : ControllerBase
{
    [HttpGet]
    public IActionResult Get()
    {
        return Ok("只有Admin角色能访问此资源");
    }
}

额外检查点 #

• 确认用户确实被分配了对应的角色（可以在IdentityServer的数据库里查AspNetUserRoles表）；
• 检查Web API和IdentityServer的系统时钟是否同步（JWT有过期时间，时钟偏差会导致验证失败）；
• 确保ApiResource的名称和Web API配置的Audience完全一致（大小写也要匹配）。

按照这些步骤调整后，Web API的角色授权应该就能正常工作了。

内容的提问来源于stack exchange，提问作者Fawad Ali Siddiqi