HttpClient请求突然返回Forbidden？ASP.NET Core项目排查求助

场景背景 #

两年前在ASP.NET Core 8 MVC Web应用中使用HttpClient调用外部API，代码如下：

HttpClientHandler httpClientHandler = new HttpClientHandler()
{
    Credentials = new NetworkCredential(configuration[Id], configuration[Pwd])
};

using var client = new HttpClient(httpClientHandler);
client.DefaultRequestHeaders.Add("Accept", "application/xml");

var result = client.GetAsync($"{configuration[Host]}/api/example").Result;

已知该写法不符合HttpClient的推荐用法，但因需要动态设置基础认证凭据和API基地址（Host、Id、Pwd从appsettings.json/appsettings.Development.json中按登录用户动态读取，配置示例如下），无法注册静态HttpClient到DI容器：

"API": {
  "Debug": {
      "Host": "...",
      "Id": "...",
      "Pwd": "..."
  },
  "Production": {
    "Host": "...",
    "PartnerId": "...",
    "Pwd": "..."
  }
}

代码正常运行两年后，所有HttpClient请求突然返回如下错误：

<?xml version="1.0" encoding="UTF-8"?>
<error>
  <message context="ForbiddenException">Forbidden resource</message>
</error>

但Postman测试、改用HttpWebRequest的请求均正常，需排查HttpClient请求的异常原因。

排查步骤 #

1. 对比请求头差异 #

• 用抓包工具（如Fiddler、Charles）捕获HttpClient请求和Postman/HttpWebRequest的完整请求头，重点检查：
  • 基础认证头（Authorization: Basic ...）是否一致，确认NetworkCredential是否正确生成Base64编码的凭据
  • Accept头是否完全匹配（比如是否有额外字符编码、版本信息差异）
  • 是否存在HttpClient自动添加的额外头（如Connection: Keep-Alive、User-Agent），部分API对这些头有严格校验

2. 检查HttpClientHandler默认行为 #

• HttpClientHandler默认启用自动重定向，若API重定向过程中丢失认证凭据，会导致403。可临时禁用重定向验证：

  httpClientHandler.AllowAutoRedirect = false;
  

  观察是否返回3xx状态码，再手动处理重定向并携带凭据
• 检查是否启用Cookie容器，若之前请求残留无效Cookie，可能影响当前请求：

  httpClientHandler.UseCookies = false;
  

  测试是否恢复正常

3. 验证凭据动态加载逻辑 #

• 确认登录用户对应的配置项（Debug/Production）是否正确读取：
  • 打印或调试输出configuration[Id]、configuration[Pwd]、configuration[Host]的实际值，是否和Postman中使用的一致
  • 注意Production配置中的键是PartnerId而非Id，检查代码中是否存在键名拼写错误

4. 排查连接池与Socket耗尽问题 #

• 频繁创建HttpClient会导致Socket耗尽，可能引发请求异常。可临时修改代码复用HttpClientHandler（注意线程安全），或使用IHttpClientFactory的命名客户端方案：

  // 在Program.cs中注册不同配置的命名客户端
  builder.Services.AddHttpClient("DebugAPI", client =>
  {
      var config = builder.Configuration.GetSection("API:Debug");
      client.BaseAddress = new Uri(config["Host"]!);
      var credentials = Convert.ToBase64String(Encoding.ASCII.GetBytes($"{config["Id"]}:{config["Pwd"]}"));
      client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Basic", credentials);
      client.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/xml"));
  });
  
  // 使用时根据用户选择获取对应客户端
  var client = _httpClientFactory.CreateClient("DebugAPI");
  

5. 检查TLS/SSL配置差异 #

• HttpClientHandler默认TLS版本可能和HttpWebRequest或Postman不同，部分API可能升级了TLS要求（如禁用TLS1.0/1.1）。可强制指定TLS版本：

  httpClientHandler.SslProtocols = SslProtocols.Tls12 | SslProtocols.Tls13;
  

  测试是否解决问题

6. 捕获完整请求日志 #

• 在ASP.NET Core中启用HttpClient详细日志，查看请求完整过程：
  • 在appsettings.json中添加日志配置：

    "Logging": {
      "LogLevel": {
        "System.Net.Http.HttpClient": "Debug"
      }
    }
    

  • 查看日志中的请求URL、头信息、凭据是否正确，是否有异常抛出

内容的提问来源于stack exchange，提问作者dpant