ASP.NET Core 身份的 IdentityServer4 基于角色的授权 = 访问被拒绝

Question

我有一个使用 IdentityServer4 作为登录服务器的 ASP.NET Core 客户端应用程序。客户端可以使用属性登录装饰控制器，[Authorize]但是如果我将属性与角色一起使用，[Authorize(Roles = "test")]我会得到拒绝访问

但是，当我解析 JWT 时，我可以看到用户分配了正确的角色。

{

  "nbf": xxx,

  "exp": xxx,

  "iss": "xxx",

  "aud": [

    "xxx",

    "xxx"

  ],

  "client_id": "xxx",

  "sub": "xxx",

  "auth_time": xxx,

  "idp": "xxx",

  "email": "xxx",

  "role": "test", <-------------------------------

  "scope": [

    "openid",

    "profile",

    "xxx",

    "xxx"

  ],

  "amr": [

    "xxx"

  ]

}

Answer 1

请确保您附加了正确的 jwt。您提供的那个看起来不错，但您可能附加了请求具有不同有效负载的 id_token。

Answer 2

即使用户角色存在于访问令牌中，它也不会被识别为角色，因为它是用户声明的一部分。例如User.IsInRole("test")返回 false。我通过创建一个策略来使用RequireClaim然后设置Authorize属性来使用该策略来解决这个问题，例如[Authorize(Policy = "RequireUserOnly")]