如何配置.NET 7 Web应用通过托管身份访问Azure MySQL灵活服务器

核心澄清：必须创建托管身份映射的MySQL用户 #

这一步不是使用传统用户名密码，而是将Azure托管身份与MySQL用户进行映射，是Entra ID认证的必要环节。MySQL需要通过这个映射识别托管身份的权限，相当于给托管身份在MySQL里分配一个“身份账户”，登录时用Azure令牌而非密码验证。

步骤1：创建映射托管身份的MySQL用户 #

用你的Microsoft Entra Admin身份登录MySQL服务器，执行以下SQL：

-- 替换为WebApp托管身份的ObjectID（从Azure门户WebApp→身份→系统分配中复制）
CREATE AADUSER '你的托管身份ObjectID'@'%';
-- 授予目标数据库的权限（按需调整，比如只给读写权限）
GRANT ALL PRIVILEGES ON 你的数据库名.* TO '你的托管身份ObjectID'@'%';
FLUSH PRIVILEGES;

步骤2：修改EF Core配置，集成Azure令牌 #

由于MySqlConnection的AccessToken属性已移除，现在需要通过MySqlConnector库的新方式传递令牌，以下是两种可靠方案：

方案一：构建带认证参数的连接字符串 #

适合简单场景，需确保项目引用**MySqlConnector 8.0.30+**版本（EF Core MySQL Provider底层依赖此库）：

services.AddDbContext<ContrattoCompliantDbContext>(options =>
{
    var tokenCredential = new DefaultAzureCredential();
    // 获取MySQL的Entra ID令牌
    var token = tokenCredential.GetToken(
        new Azure.Core.TokenRequestContext(new[] { "https://database.windows.net/.default" })).Token;

    // 基于原始连接字符串构建带认证配置的新字符串
    var connectionStringBuilder = new MySqlConnector.MySqlConnectionStringBuilder(
        Configuration.GetConnectionString("ContrattoCompliantDbContext"))
    {
        AuthenticationPlugin = "AzureADAccessToken",
        AccessToken = token
    };

    options.UseMySQL(connectionStringBuilder.ConnectionString);
}, ServiceLifetime.Scoped);

方案二：拦截连接事件动态刷新令牌（推荐） #

解决令牌过期问题，每次打开连接前自动获取最新令牌：

services.AddDbContext<ContrattoCompliantDbContext>(options =>
{
    var connectionString = Configuration.GetConnectionString("ContrattoCompliantDbContext");
    var connection = new MySqlConnector.MySqlConnection(connectionString);

    // 拦截连接打开前的事件，注入最新令牌
    connection.Opening += (sender, e) =>
    {
        var tokenCredential = new DefaultAzureCredential();
        var token = tokenCredential.GetToken(
            new Azure.Core.TokenRequestContext(new[] { "https://database.windows.net/.default" })).Token;
        ((MySqlConnector.MySqlConnection)sender).SetAccessToken(token);
    };

    options.UseMySQL(connection);
}, ServiceLifetime.Scoped);

步骤3：环境一致性验证 #

• 本地开发：VS中登录的账户需是MySQL服务器的Entra Admin或已授权的Entra用户，DefaultAzureCredential会自动使用VS的登录身份获取令牌。
• Azure部署：WebApp的系统托管身份已被分配MySQL访问权限，DefaultAzureCredential会自动使用托管身份获取令牌，无需修改配置。

内容的提问来源于stack exchange，提问作者Warios