具有 jwt 令牌和身份的 asp core 2 中基于角色的授权答案

【问题标题】：Role based authorization in asp core 2 with jwt tokens and identity具有 jwt 令牌和身份的 asp core 2 中基于角色的授权
【发布时间】：2023-03-22 15:02:01
【问题描述】：

我在 asp core 2 中尝试了一些带有 jwt 令牌和 asp 核心身份的授权示例。我已按照此代码https://github.com/SunilAnthony/SimpleSecureAPI 进行操作，并且工作正常。

问题在于基于角色的授权。我试过这样的事情： http://www.jerriepelser.com/blog/using-roles-with-the-jwt-middleware/

结果很奇怪。我的控制器方法：

[HttpGet]
[Authorize]
public IActionResult Get()
{
    IEnumerable<Claim> claims = User.Claims; // contains claim with Type = "http://schemas.microsoft.com/ws/2008/06/identity/claims/role" and Value = "Administrator"
    bool role = User.IsInRole("Administrator"); // true
    bool claim = User.HasClaim(ClaimTypes.Role, "Administrator"); // true

    return Ok(claims);
}

当我仅使用属性 [Authorize] 调用此端点并检查当前用户的代码中的角色/声明时，它看起来不错（两项检查都是正确的），但是当我将授权属性更改为 [Authorize(Roles = "Administrator")] 时，它不起作用-> 当我用这个属性调用这个端点时，我会收到 404。我不知道问题出在哪里。我的启动类与上面的 git 链接完全相同，我刚刚在 access_token 的有效负载中添加了字符串角色名称列表，然后是“角色”数组：

它是硬编码的，但我已经更改了我的登录方法，只是为了进行这样的测试：

[HttpPost("login")]
public async Task<IActionResult> SignIn([FromBody] Credentials Credentials)
{
    if (ModelState.IsValid)
    {
        var result = await _signInManager.PasswordSignInAsync(Credentials.Email, Credentials.Password, false, false);
        if (result.Succeeded)
        {
            IdentityUser user = await _userManager.FindByEmailAsync(Credentials.Email);

            List<string> roles = new List<string>();
            roles.Add("Administrator");

            return new JsonResult(new Dictionary<string, object>
                {
                    { "access_token", GetAccessToken(Credentials.Email, roles) },
                    { "username", user.Email },
                    { "expired_on", DateTime.UtcNow.AddMinutes(_tokenLength) },
                    { "id_token", GetIdToken(user) }
                });
        }
        return new JsonResult("Unable to sign in") { StatusCode = 401 };
    }
    return new JsonResult("Unable to sign in") { StatusCode = 401 };
}

还有GetAccessTokenMethod：

private string GetAccessToken(string Email, List<string> roles)
{
  var payload = new Dictionary<string, object>
  {
    { "sub", Email },
    { "email", Email },
    { "roles", roles },
  };
  return GetToken(payload);
}

[Authorize(Roles = "Administrator")] 属性的问题在哪里？

【问题讨论】：

您是否检查过端点是否真的在返回重定向？您的授权检查似乎失败，然后可能试图将您重定向到丢失的登录页面。
问题不是 404（是的，我没有登录页面），而是我的用户具有角色/声明“管理员”但我不知道如何配置角色的情况基于使用属性 [Authorize(Roles = "Administrator")] 的授权。目前，即使他有这个角色，同一个用户也会得到 404。类似的问题在这里描述了stackoverflow.com/questions/45915929/…

标签： c# asp.net-core authorization jwt asp.net-core-identity

【解决方案1】：

问题在于声明的类型：

http://schemas.microsoft.com/ws/2008/06/identity/claims/role

不知何故，[Authorize] 属性在与Roles 值一起使用时无法正常工作。所以这个[Authorize(Roles = "Administartor")] 不起作用。您必须通过对 Startup 类应用转换将声明类型仅映射到 role。

如果您有一个基于 Owin 的项目：

app.UseClaimsTransformation(incoming =>
            {
                // either add claims to incoming, or create new principal
                var appPrincipal = new ClaimsPrincipal(incoming);
                if (appPrincipal.HasClaim(x => x.Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/role"))
                {
                    var value = appPrincipal.Claims.First(x =>
                        x.Type == "http://schemas.microsoft.com/ws/2008/06/identity/claims/role").Value;

                    incoming.Identities.First().AddClaim(new Claim("role", value));
                }                

                return Task.FromResult(appPrincipal);
            });

【讨论】：