".net 核心身份 2.1 角色授权不起作用"

Question

在 2.1 之前，我已经多次实施基于角色的身份验证。 按照步骤搭建新的 2.1 标识。

我扩展了 IdentityUser 模型以添加其他字段，登录工作正常，新字段出现。

startup.cs 配置服务包含

         services.AddDefaultIdentity<AppUser>()
            .AddRoles<IdentityRole>()
            .AddEntityFrameworkStores<ApplicationDbContext>();

我播种了角色

         IdentityRole role = new IdentityRole();
         role.Name = "Administrator";
         IdentityResult roleResult = roleManager.
         CreateAsync(role).Result;

然后创建一个用户并添加到角色

        AppUser user = new AppUser();
        user.UserName = "Admin";
        user.Email = "admin@admin.com";
        user.Name = "Administrator";
        user.LockoutEnabled = false;
        user.EmailConfirmed = true;

        IdentityResult result = userManager.CreateAsync(user, "password").Result;

        if (result.Succeeded)
        {
            userManager.AddToRoleAsync(user, "Administrator").Wait();
        }

一切都成功了，数据库看起来很好（AspNetUserRoles 有链接）

但是，使用角色装饰控制器将始终返回未授权

       [Authorize(Roles = "Administrator")]

但是，使用[Authorize] （无角色）进行简单的登录检查将起作用。

我该如何解决这个问题/合并源代码的最简单方法是什么，以便我可以单步调试/调试[Authorize]标签？

Answer 1

怎么修

但是，用角色装饰控制器将始终返回未授权

 [Authorize(Roles = "Administrator")]

这是2.1版本中的一个已知错误。 请参阅此处的问题。

我遵循使用 HaoK 和 C-BERBER 建议的旧 api 的建议，现在它可以完美运行。

这是我的DbContext ：

public class ApplicationDbContext : IdentityDbContext<AppUser,IdentityRole,string>
{
    public ApplicationDbContext(DbContextOptions<ApplicationDbContext> options)
        : base(options)
    {
    }
}

使用旧式 api 配置身份：

services.AddIdentity<AppUser, IdentityRole>()
        .AddRoleManager<RoleManager<IdentityRole>>()
        .AddDefaultUI()
        .AddDefaultTokenProviders()
        .AddEntityFrameworkStores<ApplicationDbContext>();

最后，注销并重新登录，现在将按预期工作。

如何调试源代码

我想你不会想要调试AuthorizeAttribe本身，因为它是在编译时处理的。 如果您要调试AuthorizeFilter ，您可以按照以下步骤操作：

单击Tools -> Options -> Debugging

1. 在General ，取消选择Enable Just My Code in Visual Studio
2. 选择Enable Source Link Support
3. 在Symbols ，确保选择了Microsoft Symbol Servers

您现在可以调试源代码。 但是，由于过滤器的工作方式，您需要在 MVC 之前设置一个断点。 我只是设置了一个将在 MVC 路由器处理程序之前发生的虚拟中间件：

调试AuthorizeFiler截图：

Answer 2

在我的 ASP.NET Core 3（预览版）+ Angular 的情况下，解决方案是在AddAuthentication

services.AddDefaultIdentity<ApplicationUser>()
    .AddRoles<IdentityRole>()
    .AddRoleManager<RoleManager<IdentityRole>>()
    .AddEntityFrameworkStores<ApplicationDbContext>();

services.AddAuthentication(options =>
{
    options.DefaultAuthenticateScheme = IdentityConstants.ApplicationScheme;
    options.DefaultChallengeScheme = IdentityConstants.ApplicationScheme;
    options.DefaultSignInScheme = IdentityConstants.ExternalScheme;
});

Answer 3

我在声明中添加了角色。 然后它适用于 UI（ HttpContext.User.IsInRole("Admin") ）和authorize属性（ [Authorize(Roles = "Admin")] ）。

启动.cs文件：

public void ConfigureServices(IServiceCollection services)
{    
    services.AddIdentity<ApplicationUser, IdentityRole>()                
      .AddEntityFrameworkStores<WandContext>();
    ///..... other code
} 

在身份验证期间，我将角色添加到我的声明中。

var invalidLoginAttempt = false;
var user = await _userManager.FindByNameAsync(loginModel.Email);
if (user != null)
{
    var result = await _signInManager.CheckPasswordSignInAsync(user, loginModel.Password, lockoutOnFailure: true);

    if (result.Succeeded)
    {                                       
        var customClaims = new List<Claim>
        {
            new Claim(ClaimTypes.Role, Role.Admin)
        };

        var claimsIdentity = new ClaimsIdentity(customClaims, CookieAuthenticationDefaults.AuthenticationScheme);
        var claimsPrincipal = new ClaimsPrincipal(claimsIdentity);

        await _signInManager.Context.SignInAsync(IdentityConstants.ApplicationScheme,
            claimsPrincipal, new AuthenticationProperties { IsPersistent = loginModel.RememberMe });

        return LocalRedirect(returnUrl);
    }
    else if (result.IsLockedOut)
        ModelState.AddModelError(string.Empty, "This account has been locked out, please try again later.");
    else
        invalidLoginAttempt = true;
}
else
    invalidLoginAttempt = true;

Answer 4

我通过调用JwtSecurityTokenHandler.DefaultInboundClaimTypeMap.Clear();让角色工作在Startup.cs中的services.AddAuthentication之前。

我还添加了

services.AddScoped<IProfileService, ProfileService>();

和ProfileService.cs看起来像这样将角色映射到声明：

public sealed class ProfileService : IProfileService
{
    private readonly IUserClaimsPrincipalFactory<ApplicationUser> _userClaimsPrincipalFactory;
    private readonly UserManager<ApplicationUser> _userMgr;
    private readonly RoleManager<IdentityRole> _roleMgr;

    public ProfileService(
        UserManager<ApplicationUser> userMgr,
        RoleManager<IdentityRole> roleMgr,
        IUserClaimsPrincipalFactory<ApplicationUser> userClaimsPrincipalFactory)
    {
        _userMgr = userMgr;
        _roleMgr = roleMgr;
        _userClaimsPrincipalFactory = userClaimsPrincipalFactory;
    }

    public async Task GetProfileDataAsync(ProfileDataRequestContext context)
    {
        string sub = context.Subject.GetSubjectId();
        ApplicationUser user = await _userMgr.FindByIdAsync(sub);
        ClaimsPrincipal userClaims = await _userClaimsPrincipalFactory.CreateAsync(user);

        List<Claim> claims = userClaims.Claims.ToList();
        claims = claims.Where(claim => context.RequestedClaimTypes.Contains(claim.Type)).ToList();

        if (_userMgr.SupportsUserRole)
        {
            IList<string> roles = await _userMgr.GetRolesAsync(user);
            foreach (var roleName in roles)
            {
                claims.Add(new Claim(JwtClaimTypes.Role, roleName));
                if (_roleMgr.SupportsRoleClaims)
                {
                    IdentityRole role = await _roleMgr.FindByNameAsync(roleName);
                    if (role != null)
                    {
                        claims.AddRange(await _roleMgr.GetClaimsAsync(role));
                    }
                }
            }
        }

        context.IssuedClaims = claims;
    }

    public async Task IsActiveAsync(IsActiveContext context)
    {
        string sub = context.Subject.GetSubjectId();
        ApplicationUser user = await _userMgr.FindByIdAsync(sub);
        context.IsActive = user != null;
    }
}

来源：

https://ffimnsr.medium.com/adding-identity-roles-to-identity-server-4-in-net-core-3-1-d42b64ff6675