作为 User.IsInRole() 评估授权角色的正确方法总是返回 false

Question

关于 User.IsInRole 的问题很多，但我找不到正确的答案。

我需要使用 AuthorizationHandler（通过授权要求）验证某个角色

我有一个 ASP.NET Core 2.1 项目，其中包含个人用户帐户。我已经为数据库播种并使用userManager.AddToRoleAsync 将用户添加到（一个角色）角色，是的，数据库显示了用户、角色和他们之间的连接。

我创建了一个 CandidateViewHandler 来控制 View-Contorller 的授权。它看起来如下

public class CandidateViewHandler : AuthorizationHandler<ViewCandidateRequirement, Candidate>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, ViewCandidateRequirement requirement, Candidate resource)
    {
        if (context.User.Identity.IsAuthenticated)
        {
            if (resource.Email == context.User.FindFirst(ClaimTypes.Name).Value)
            {
                context.Succeed(requirement);
            }
            else
            {
                bool IsAdmin = context.User.IsInRole("Administrator");
                bool IsSearch = context.User.IsInRole("Searcher");                    
                if (IsAdmin == true || IsSearch == true)
                {
                    context.Succeed(requirement);
                }
            }
        }
        return Task.CompletedTask;
    }
}

但是，IsAdmin 和 IsSearch 总是返回 false。即使在控制器中对其进行测试，结果也保持不变。我应该在 2.1 中使用 Claims 吗？如果有，怎么做？

Answer 1

IMO 的 Charles de M. 提到的讨论实际上表明，角色实际上是身份的不必要添加。在我看来，将来最好删除 AspNetRoles 表（或至少不再使用它）并直接使用角色作为声明，而不是通过身份将角色添加为声明.

将您的角色类型声明添加到 AspNetUserClaims 表中。默认role claim type 是http://schemas.microsoft.com/ws/2008/06/identity/claims/role。该类型的任何声明都应自动映射为角色，以便与 IsInRole 一起使用。

您也可以在客户端使用自定义映射：

services.AddAuthentication()
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
            {
                RoleClaimType = "role",
                NameClaimType = "name",
            };
    });

附带说明，您可以考虑不再使用角色，因为 asp.net 核心有许多更高级的功能可用于授权。

Answer 2

显然 ASP.NET CORE 2.1 在处理角色时存在问题：https://github.com/aspnet/Identity/issues/1813，正如该线程中所解释的那样。不过，问题仍然存在于如何用声明替换角色。

解决方法是回退到 startup 文件中的旧配置：

services.AddIdentity<ApplicationUser, IdentityRole>()
        .AddEntityFrameworkStores<ApplicationDbContext>()
        .AddDefaultUI()
        .AddDefaultTokenProviders()

（所以删除 AddDefaultIdentity<ApplicationUser>.AddRole<ApplicationRole> 并替换为 AddIdentity<AppplicationRole, ApplicationUser>。现在一切正常。