ASP.NET Core WebApi EF：用户角色添加失败及权限验证异常问题

看起来你遇到了三个核心问题：角色未正确写入AspNetRoles、用户角色关联失败导致GetRolesAsync返回空，以及[Authorize]特性触发403错误。这些问题大概率和异步操作的同步阻塞（.Result的误用）以及未验证异步操作结果有关，咱们一步步拆解：

1. 角色未写入AspNetRoles是否符合预期？ #

这绝对不符合预期。正常调用_roleManager.CreateAsync应该会把角色写入数据库，没写入的原因大概率是你的初始化代码里的异步操作被阻塞，或者创建过程失败但没被捕获。

2. 核心问题：.Result导致的异步阻塞/死锁 #

你的InitializeRoles和InitializeAdmin方法里，用了.Result来同步等待异步方法完成，这在ASP.NET Core环境下非常危险——ASP.NET的同步上下文会被阻塞，导致异步操作无法正确完成，最终数据库操作可能没提交，或者操作直接失败。

比如在InitializeAdmin里，即使InitializeRoles先被调用，但如果_roleManager.CreateAsync(role).Result因为死锁没真正完成，角色根本没被创建，后续AddToRoleAsync自然会失败（因为角色不存在），导致用户没有任何角色。

3. 解决方案步骤 #

步骤1：重构初始化方法为异步，避免.Result #

把初始化逻辑改成全异步，并且在启动时正确等待它完成。比如在Program.cs里（或者你的初始化服务注入逻辑中）：

// 假设你的初始化类叫DbInitializer
var dbInitializer = app.Services.GetRequiredService<DbInitializer>();
await dbInitializer.InitializeAsync(); // 用异步方法代替同步的Initialize

然后修改你的初始化类：

public async Task InitializeAsync()
{
    await InitializeRolesAsync();
    await InitializeAdminAsync();
}

#region Private Methods
private async Task InitializeRolesAsync()
{
    if (_roleManager.Roles.Any())
        return;

    var role = new IdentityRole(Roles.AdminRole);
    var roleResult = await _roleManager.CreateAsync(role);
    
    // 一定要检查操作结果，排查失败原因
    if (!roleResult.Succeeded)
    {
        var errors = string.Join(", ", roleResult.Errors.Select(e => e.Description));
        throw new InvalidOperationException($"创建Admin角色失败: {errors}");
    }
}

private async Task InitializeAdminAsync()
{
    if (_userManager.Users.Any(u => u.UserName == AdminUsername))
        return;

    var admin = new User
    {
        UserName = AdminUsername,
        Email = AdminUsername,
    };
    var userResult = await _userManager.CreateAsync(admin, AdminPassword);
    
    if (!userResult.Succeeded)
    {
        var errors = string.Join(", ", userResult.Errors.Select(e => e.Description));
        throw new InvalidOperationException($"创建Admin用户失败: {errors}");
    }

    var roleResult = await _userManager.AddToRoleAsync(admin, Roles.AdminRole);
    if (!roleResult.Succeeded)
    {
        var errors = string.Join(", ", roleResult.Errors.Select(e => e.Description));
        throw new InvalidOperationException($"为Admin用户添加角色失败: {errors}");
    }
}
#endregion

步骤2：验证数据库操作结果 #

你之前的代码完全没检查CreateAsync和AddToRoleAsync的result.Succeeded，这会导致你根本不知道操作失败的原因——比如角色名称不符合规则、用户密码复杂度不够、角色不存在等。添加错误检查后，你能直接看到具体的失败信息，快速定位问题。

步骤3：确认角色关联与授权逻辑 #

修复初始化后，你可以：

• 检查AspNetRoles表是否存在Admin角色
• 检查AspNetUserRoles表是否存在用户与角色的关联记录
• 调用await _userManager.GetRolesAsync(admin)应该能返回包含Admin的数组
• 此时[Authorize(Roles = Roles.AdminRole)]特性应该能正常工作，不再返回403

额外排查点 #

• 确保你的User类正确继承了IdentityUser（或自定义的Identity用户类）
• 确保DbContext正确配置了Identity的实体（比如AddDbContext时包含Identity的配置）
• 如果使用了数据库迁移，确保已执行Update-Database或dotnet ef database update，创建了Identity所需的表

内容的提问来源于stack exchange，提问作者Nikita Goncharuk