使用托管标识访问Azure SQL时的令牌过期问题排查

DbContext池（或底层的SqlConnection池）会复用已创建的连接对象。你的DbConnectionInterceptor只在首次打开连接时获取令牌，但当连接被池化复用后，不会再次触发ConnectionOpening，导致旧的过期令牌被重复使用，最终出现登录失败。

1. 改用SqlClient内置托管标识认证（推荐） #

不需要手动实现令牌获取逻辑，直接用SqlClient自带的托管标识支持，它会自动处理令牌的获取、缓存和刷新，完美适配连接池场景。

修改连接字符串，添加对应认证参数：

Server=tcp:你的SQL服务器地址.database.windows.net,1433;Database=你的数据库名;Authentication=Active Directory Managed Identity;User Id=你的托管标识Client ID;

这样SqlClient会全权负责令牌生命周期，不用再写自定义拦截器。

2. 若必须保留自定义拦截器，调整逻辑适配连接池 #

如果一定要自己处理令牌，得确保每次连接被使用前都能拿到有效令牌：

• 放弃同步的ConnectionOpening，改用异步的ConnectionOpeningAsync，避免阻塞异步方法：

public override async ValueTask ConnectionOpeningAsync(DbConnection connection, ConnectionEventData eventData, InterceptionResult result, CancellationToken cancellationToken)
{
    var sqlConn = (SqlConnection)connection;
    // MSAL会自动缓存未过期的令牌，直接调用即可
    var token = await GetAccessTokenAsync(cancellationToken);
    sqlConn.AccessToken = token;
    await base.ConnectionOpeningAsync(connection, eventData, result, cancellationToken);
}

private async Task<string> GetAccessTokenAsync(CancellationToken cancellationToken)
{
    var app = _confidentialClientAppBuilder.GetConfidentialClientApp();
    var scopes = new[] { "https://database.windows.net/.default" };
    var result = await app.AcquireTokenForClient(scopes)
                          .ExecuteAsync(cancellationToken);
    return result.AccessToken;
}

• 你已经启用了MSAL的共享缓存，AcquireTokenForClient会自动返回未过期的缓存令牌，无需手动判断有效期。

3. 辅助调整连接池生命周期 #

可以缩短连接池的连接存活时间，减少过期令牌被复用的概率：
在连接字符串中添加Connection Lifetime=3600（单位：秒，比如设为1小时），这样连接池会自动回收超过生命周期的连接，强制重新创建连接并获取新令牌。

• 未用DbContext池时，每次请求都会新建DbConnection，拦截器每次都能获取新令牌，所以没问题。
• 用池后，连接被复用，初始令牌过期后没有刷新，才会触发登录失败。

内容的提问来源于stack exchange，提问作者Nikita Christie