无法访问 JWT 令牌 .NET Core 中的角色答案

【问题标题】：Can't access Roles in JWT Token .NET Core无法访问 JWT 令牌 .NET Core 中的角色
【发布时间】：2019-05-11 04:03:58
【问题描述】：

我有一个使用 .NET Core API、Keycloak 和 JWT Token 制作的应用程序。

到目前为止我一直在使用的旧版本的 Keycloak，当它创建 JWT 令牌时，它在有效负载上写了角色：

{
    "user_roles": [
        "offline_access",
        "uma_authorization",
        "admin",
        "create-realm"
  ]
}

但是现在我更新它之后，它在payload上写了角色：

{
  "realm_access": {
    "roles": [
      "create-realm",
      "teacher",
      "offline_access",
      "admin",
      "uma_authorization"
    ]
  },
}

而且我需要知道如何将这个旧代码更改为新代码，告诉它不要查看user_roles，而是查看realm_access，然后查看roles。

public void AddAuthorization(IServiceCollection services)
{
    services.AddAuthorization(options =>
    {
        options.AddPolicy("Administrator", policy => policy.RequireClaim("user_roles", "admin"));
        options.AddPolicy("Teacher", policy => policy.RequireClaim("user_roles", "teacher"));
        options.AddPolicy("Pupil", policy => policy.RequireClaim("user_roles", "pupil"));
        options.AddPolicy(
            "AdminOrTeacher",
            policyBuilder => policyBuilder.RequireAssertion(
                context => context.User.HasClaim(claim =>
                               claim.Type == "user_roles" && (claim.Value == "admin" || claim.Value == "teacher")
                          ))
        );
    });
}

【问题讨论】：

此处使用的 microsoft 身份模型不支持嵌套声明（Claims 类没有子声明选项/功能）。使用第一段中的扁平扁平（键值）结构

标签： c# asp.net-core authorization jwt keycloak

【解决方案1】：

以下代码会将“realm_access.roles”-claim（JWT 令牌）从 Keycloak (v4.7.0) 转换为 Microsoft Identity Model 角色声明：

public void ConfigureServices(IServiceCollection services)
{
    ...
    services.AddTransient<IClaimsTransformation, ClaimsTransformer>();
    ...
}

public class ClaimsTransformer : IClaimsTransformation
{
    public Task<ClaimsPrincipal> TransformAsync(ClaimsPrincipal principal)
    {
        ClaimsIdentity claimsIdentity = (ClaimsIdentity)principal.Identity;

        // flatten realm_access because Microsoft identity model doesn't support nested claims
        // by map it to Microsoft identity model, because automatic JWT bearer token mapping already processed here
        if (claimsIdentity.IsAuthenticated && claimsIdentity.HasClaim((claim) => claim.Type == "realm_access"))
        {
            var realmAccessClaim = claimsIdentity.FindFirst((claim) => claim.Type == "realm_access");
            var realmAccessAsDict = JsonConvert.DeserializeObject<Dictionary<string, string[]>>(realmAccessClaim.Value);
            if (realmAccessAsDict["roles"] != null)
            {
                foreach (var role in realmAccessAsDict["roles"])
                {
                    claimsIdentity.AddClaim(new Claim(ClaimTypes.Role, role));
                }
            }
        }

        return Task.FromResult(principal);
    }
}

【讨论】：

请说明您的代码的作用

【解决方案2】：

对于任何未来的读者 - 您可以使用 RequireAssertion 方法从 JWT 解析任何声明值。

services.AddAuthorization(options => options.AddPolicy("Administrator", policy =>
   policy.RequireAssertion(c =>
        JsonSerializer.Deserialize<Dictionary<string, string[]>>(c.User?.FindFirst((claim) => claim.Type == "realm_access")?.Value ?? "{}")
             .FirstOrDefault().Value?.Any(v => v == "admin") ?? false)));

【讨论】：