C# Refit客户端未发送Authorization请求头问题排查

我来帮你排查这个问题——你通过[HeaderCollection]传递Bearer令牌时，Authorization头没有被正确添加到请求中，导致401未授权错误。这种情况通常是因为Refit对标准的Authorization头有特殊的处理逻辑，或者[HeaderCollection]的使用方式存在潜在优先级问题。

下面给你几种可靠的解决方案，按推荐程度排序：

方法1：用Refit的[Authorize]属性+自定义认证处理器（官方推荐） #

这种方式更优雅，也更易于维护，适合全局或批量接口的认证需求：

1. 先给你的API接口加上[Authorize]标记：

[Authorize]
[Post(PresentationsBasePath + "/{presentationId}/cart")]
Task AddItemToCartAsync(long presentationId, ShoppingCartItemView item);

2. 写一个自定义的消息处理器，专门负责添加Bearer令牌：

public class BearerTokenHandler : DelegatingHandler
{
    private readonly Func<Task<string>> _tokenProvider;

    public BearerTokenHandler(Func<Task<string>> tokenProvider)
    {
        _tokenProvider = tokenProvider ?? throw new ArgumentNullException(nameof(tokenProvider));
    }

    protected override async Task<HttpResponseMessage> SendAsync(HttpRequestMessage request, CancellationToken cancellationToken)
    {
        var token = await _tokenProvider();
        if (!string.IsNullOrWhiteSpace(token))
        {
            request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", token);
        }
        return await base.SendAsync(request, cancellationToken);
    }
}

3. 在DI注册Refit客户端时，把这个处理器加进去：

var refitSettings = GetRefitSettings();
void Configure<T>() where T : class => services
    .AddRefitClient<T>(refitSettings)
    .AddHttpMessageHandler(() => new BearerTokenHandler(() => Task.FromResult(token))) // 这里替换成你实际获取token的逻辑，比如从缓存/身份服务拿
    .ConfigureHttpClient(ConfigureHttpClient);
Configure<IMarsPresentationApi>();

如果你的token需要动态获取（比如每次请求都要刷新），只需要调整tokenProvider委托的逻辑即可，非常灵活。

方法2：单独传递Authorization头（替代HeaderCollection） #

如果只是个别接口需要传这个头，不想用全局处理器，可以直接在接口定义里单独声明Authorization参数，避开HeaderCollection的潜在问题：

1. 修改API接口的参数定义：

[Post(PresentationsBasePath + "/{presentationId}/cart")]
Task AddItemToCartAsync(
    long presentationId, 
    ShoppingCartItemView item, 
    [Header("pres_id")] string presentationIdHeader,
    [Header(HeaderNames.Authorization)] string authorizationHeader);

2. 调用时直接传入对应的值：

await _api.AddItemToCartAsync(
    presentationId, 
    item, 
    presentationId.ToString(),
    $"Bearer {token}");

这种方式更直接，能确保头被正确添加，不会被Refit的内部逻辑忽略。

方法3：排查原HeaderCollection的问题（如果坚持要用） #

如果你不想改接口定义，一定要用HeaderCollection，可以先做这几步排查：

• 调试时输出GetTokenHeader返回的字典，确认Authorization键和对应的Bearer {token}值确实存在；
• 检查HeaderNames.Authorization的实际值是不是"Authorization"（有些命名空间可能会有冲突，直接写字符串"Authorization"试试）；
• 看看RefitSettings里有没有配置会影响头处理的内容，比如自定义的ContentSerializer是否过滤了标准头。

Refit在处理[HeaderCollection]时，对Authorization这类标准HTTP头有优先级判断：如果HttpClient的DefaultRequestHeaders里已经有这个头，或者Refit认为应该通过[Authorize]属性来处理认证，就会忽略HeaderCollection里的Authorization条目。这也是为什么单独传参或用认证处理器的方式更可靠。

内容的提问来源于stack exchange，提问作者DLeh