APIM策略中如何通过变量传递托管标识Client ID获取令牌？

是否支持该场景 #

支持动态指定<authentication-managed-identity>的client-id，但需要注意表达式语法的正确性，尤其是XML属性中的引号处理逻辑。

实现方法 #

你当前代码的问题在于XML属性内的引号嵌套冲突：外层属性用双引号包裹，内部引用变量时也用双引号会导致语法解析错误。只需将变量名改用单引号包裹即可修复，修改后的策略代码如下：

<authentication-managed-identity resource="my-api" client-id="@((string)context.Variables['clientid'])" output-token-variable-name="token-variable" ignore-error="false" />

如果clientid变量是通过动态逻辑生成（比如从请求头、查询参数提取），需确保变量在该策略执行前已正确初始化，示例如下：

<!-- 先从请求头提取并设置clientid变量 -->
<set-variable name="clientid" value="@(context.Request.Headers.GetValueOrDefault('x-target-client-id', ''))" />
<!-- 再引用变量获取令牌 -->
<authentication-managed-identity resource="my-api" client-id="@((string)context.Variables['clientid'])" output-token-variable-name="token-variable" ignore-error="false" />

若需根据不同业务场景切换托管标识，可结合<choose>策略实现多分支逻辑：

<choose>
    <when condition="@(context.Request.Query.GetValueOrDefault('env', '') == 'production')">
        <authentication-managed-identity resource="my-api" client-id="prod-managed-identity-id" output-token-variable-name="token-variable" ignore-error="false" />
    </when>
    <otherwise>
        <authentication-managed-identity resource="my-api" client-id="dev-managed-identity-id" output-token-variable-name="token-variable" ignore-error="false" />
    </otherwise>
</choose>

内容的提问来源于stack exchange，提问作者richard Stephenson