ASP.NET Core 2.1 Razor Pages角色授权失效问题求助

看起来你遇到的问题核心在于Asp.Net Core 2.1中AddDefaultIdentity默认不会将用户角色添加到身份Claims中——虽然你的用户在数据库里确实属于Admin角色，但登录后系统生成的ClaimsPrincipal里没有包含角色相关的Claim，导致授权策略检查时无法识别用户的角色权限，最终返回"Access denied"。

具体解决步骤 #

你有两种可行的修复方式，选其中一种即可：

方式一：替换AddDefaultIdentity为AddIdentity

AddIdentity是更完整的身份服务配置，默认会处理角色到Claims的转换。修改Startup.cs中ConfigureServices里的身份服务代码：

// 替换原来的AddDefaultIdentity配置
services.AddIdentity<IdentityUser, IdentityRole>()
    .AddEntityFrameworkStores<ApplicationDbContext>()
    .AddDefaultTokenProviders();

方式二：为AddDefaultIdentity添加角色Claims工厂

如果你想继续使用AddDefaultIdentity，需要手动指定包含角色处理的Claims工厂，让系统把用户角色转换为Claims：

services.AddDefaultIdentity<IdentityUser>()
    .AddRoles<IdentityRole>()
    // 添加这一行，启用角色到Claims的转换
    .AddClaimsPrincipalFactory<UserClaimsPrincipalFactory<IdentityUser, IdentityRole>>()
    .AddEntityFrameworkStores<ApplicationDbContext>();

额外注意事项 #

1. 重新登录：修改配置后，需要让管理员用户重新登录——之前的登录Cookie里没有包含角色Claims，新登录才能生成包含角色信息的有效Cookie。
2. 保持其他配置不变：你的授权策略(RequireAdminRole)和页面授权约定(AuthorizePage("/About", "RequireAdminRole"))都是正确的，不需要修改。

为什么之前调用GetUsersInRoleAsync能看到用户？因为这个方法是直接查询数据库的角色关联数据，但身份验证系统并没有把这些数据同步到用户的身份Claims中，所以授权检查还是失败。

内容的提问来源于stack exchange，提问作者Alan T