如何使用Auth0和JWT限制特定角色的aspnet核心操作

Question

我正在使用React创建一个PWA，并使用Auth0作为身份提供者，使用JWT承载令牌作为身份验证。我将角色注入到我的JWT令牌中，这样客户端就可以限制用户可以使用的选项，我的工作非常好。

我现在想限制服务器端，这样就不能调用终结点，除非用户具有访问该终结点所需的必要角色。

令人烦恼的是，Auth0似乎不支持添加角色或角色声称aspnet核心似乎可以处理OOTB；它要求域在声明定义中的角色之前。ie，https://bob.com/roles作为索赔。

我试图找出如何获得授权（角色=管理员）属性来尊重角色的域前缀声明。

我已尝试更新Auth0规则以设置角色或角色属性，但这些属性从未返回；似乎只有域前置角色声明返回。

我找到了更多特定身份验证提供商的其他信息，其中包括AddAuthentication扩展中的MapJsonKey扩展，看起来它们符合要求，但是AddAuthentication扩展中的标准AuthenticationOptions对象似乎没有此功能。

应用程序中的我的配置服务。反恐精英

public void ConfigureServices(IServiceCollection services)
        {
            services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_2);

            // 1. Add Authentication Services
            services.AddAuthentication(options =>
            {
                options.DefaultAuthenticateScheme = JwtBearerDefaults.AuthenticationScheme;
                options.DefaultChallengeScheme = JwtBearerDefaults.AuthenticationScheme;
            }).AddJwtBearer(options =>
            {
                options.Authority = Configuration["Auth0:Authority"];
                options.Audience = Configuration["Auth0:ClientId"];
            });

            // In production, the React files will be served from this directory
            services.AddSpaStaticFiles(configuration =>
            {
                configuration.RootPath = "ClientApp/build";
            });
        }

我在Auth0中将角色注入JWT的规则：

function (user, context, callback) {
  const namespace = 'http://bob.com';
  const assignedRoles = (context.authorization || {}).roles;

  let idTokenClaims = context.idToken || {};
  let accessTokenClaims = context.accessToken || {};

  idTokenClaims[`roles`] = assignedRoles; // This was an attempt to set the roles in 'roles' but doesn't get returned.
  accessTokenClaims[`roles`] = assignedRoles;

  idTokenClaims[`${namespace}/roles`] = assignedRoles; // This does get returned
  accessTokenClaims[`${namespace}/roles`] = assignedRoles;

  context.idToken = idTokenClaims;
  context.accessToken = accessTokenClaims;
  callback(null, user, context);
}

JWT有效载荷示例

{
    "http://bob.com/roles": [
        "Administrator"
    ],
    "given_name": "Name",
    "iss": "{issuer}",
    "sub": "{subject}",
    "aud": "{audience}"
}

asp。net核心操作（取自示例项目，但添加了auth）

[HttpGet("[action]"), Authorize(Roles = "Administrator")]
        public IEnumerable<WeatherForecast> WeatherForecasts()
        {
            var rng = new Random();
            return Enumerable.Range(1, 5).Select(index => new WeatherForecast
            {
                DateFormatted = DateTime.Now.AddDays(index).ToString("d"),
                TemperatureC = rng.Next(-20, 55),
                Summary = Summaries[rng.Next(Summaries.Length)]
            });
        }

我希望能够映射http://bob.com/roles到角色，获取aspnet coreAuthorize属性以查看http://bob.com/roles，或获取Auth0以能够返回“角色”对象中的角色。

我从哪里得到的MapJsonKey信息：https://docs.microsoft.com/en-us/aspnet/core/security/authentication/social/additional-claims?view=aspnetcore-2.2

将角色与ASP。NET核心JWT中间件https://www.jerriepelser.com/blog/using-roles-with-the-jwt-middleware/

Answer 1

对于任何发现这一点的人，我都找到了解决办法。如果您将JWT声明更新为http://schemas.microsoft.com/ws/2008/06/identity/claims/role然后，所有这些都会立即生效。

更新了Auth0规则

function (user, context, callback) {
  const assignedRoles = (context.authorization || {}).roles;

  let idTokenClaims = context.idToken || {};
  let accessTokenClaims = context.accessToken || {};

  idTokenClaims[`http://schemas.microsoft.com/ws/2008/06/identity/claims/role`] = assignedRoles;
  accessTokenClaims[`http://schemas.microsoft.com/ws/2008/06/identity/claims/role`] = assignedRoles;

  context.idToken = idTokenClaims;
  context.accessToken = accessTokenClaims;
  callback(null, user, context);
}