Net Framework4.8下Npgsql+EF Core3.1的Azure托管标识令牌过期如何解决？

你的核心问题是启动时一次性生成的令牌1小时后过期，导致连接池中的旧连接无法使用。以下是针对.NET Framework 4.8 + EF Core 3.1 + Npgsql场景的优雅解决思路：

1. 先纠正一个关键错误 #

你当前请求令牌时使用的scope是https://management.azure.com/.default，这是针对Azure管理API的，PostgreSQL托管身份认证应该使用专门的scope：https://ossrdbms-aad.database.windows.net/.default。这个错误可能会导致后续令牌权限问题，必须先修正。

2. 实现令牌自动刷新的单例服务 #

创建一个负责令牌缓存、自动刷新的服务，确保每次获取的都是有效令牌：

public interface IAzureTokenService
{
    Task<string> GetValidAccessTokenAsync();
}

public class AzureTokenService : IAzureTokenService
{
    private readonly string _tenantId;
    private readonly string _clientId;
    private readonly string _clientSecret;
    private readonly HttpClient _httpClient;
    private string _currentToken;
    private DateTime _tokenExpiry;

    public AzureTokenService(string tenantId, string clientId, string clientSecret)
    {
        _tenantId = tenantId;
        _clientId = clientId;
        _clientSecret = clientSecret;
        _httpClient = new HttpClient();
    }

    public async Task<string> GetValidAccessTokenAsync()
    {
        // 提前5分钟刷新令牌，避免刚好过期时请求失败
        if (string.IsNullOrEmpty(_currentToken) || DateTime.UtcNow.AddMinutes(5) >= _tokenExpiry)
        {
            var content = new FormUrlEncodedContent(new[]
            {
                new KeyValuePair<string, string>("grant_type", "client_credentials"),
                new KeyValuePair<string, string>("client_id", _clientId),
                new KeyValuePair<string, string>("client_secret", _clientSecret),
                new KeyValuePair<string, string>("scope", "https://ossrdbms-aad.database.windows.net/.default"),
            });

            var tokenUrl = $"https://login.microsoftonline.com/{_tenantId}/oauth2/token";
            var response = await _httpClient.PostAsync(tokenUrl, content);
            response.EnsureSuccessStatusCode();
            var result = await response.Content.ReadAsStringAsync();
            var accessTokenResponse = JsonSerializer.Deserialize<AccessTokenResponse>(result);
            
            _currentToken = accessTokenResponse.AccessToken;
            // 计算过期时间，减去5分钟缓冲
            _tokenExpiry = DateTime.UtcNow.AddSeconds(accessTokenResponse.ExpiresIn - 300);
        }

        return _currentToken;
    }
}

3. 在Unity中注册令牌服务 #

将令牌服务注册为单例，避免重复创建HttpClient和频繁请求令牌：

container.RegisterType<IAzureTokenService, AzureTokenService>(
    new ContainerControlledLifetimeManager(),
    new InjectionConstructor(TenantId, ClientId, Secret));

4. 动态提供令牌给Npgsql #

不要预先构建固定的连接字符串，而是利用Npgsql的ProvidePasswordCallback特性，在每次创建数据库连接时动态获取有效令牌：

container.RegisterFactory<DbContextOptions<YourDbContext>>(container =>
{
    var tokenService = container.Resolve<IAzureTokenService>();
    // 基础连接字符串，不包含Password字段
    var baseConnStr = string.Format(
        "Server={0};Database={1};Port={2};User Id={3};SSLMode=Prefer",
        databaseHost, databaseName, 5432, databaseUser);

    var optionsBuilder = new DbContextOptionsBuilder<YourDbContext>();
    optionsBuilder.UseNpgsql(baseConnStr, o =>
    {
        o.UseNetTopologySuite();
        o.CommandTimeout(3600);
        // 每次打开连接时调用回调获取最新令牌
        o.ProvidePasswordCallback(async () => await tokenService.GetValidAccessTokenAsync());
    });

    return optionsBuilder.Options;
}, new ContainerControlledLifetimeManager());

关键优势 #

• 无连接池失效问题：每次创建新连接时都会使用最新的有效令牌，旧的过期连接会被连接池自动淘汰。
• 性能优化：令牌会被缓存，只有在即将过期时才会重新请求，减少不必要的Azure AD调用。
• 异步兼容：ProvidePasswordCallback支持异步，不会阻塞主线程。

额外注意事项 #

• 确保你使用的Npgsql.EntityFrameworkCore.PostgreSQL版本是3.1.x（与EF Core 3.1兼容），该版本已支持ProvidePasswordCallback。
• 可以给令牌服务添加重试逻辑（比如Polly），处理临时的Azure AD请求失败。
• 单例HttpClient在.NET Framework 4.8中是安全的，不会导致socket耗尽问题。

内容的提问来源于stack exchange，提问作者Code Vader