运行时更新HttpClient的CredentialCache实现动态凭证替换

核心思路 #

原代码中CredentialCache是初始化时一次性创建的，后续无法动态更新凭证。我们需要实现动态凭证提供者替代静态缓存，并配合重试策略在收到401时刷新凭证并重试请求。

步骤1：实现动态凭证类 #

自定义一个实现ICredentials的类，负责实时获取最新密码、提供凭证，同时支持手动触发刷新：

public class DynamicWindowsCredential : ICredentials
{
    private readonly string _username;
    private readonly string _domain;
    private readonly IAAM _aamService;
    private NetworkCredential? _currentCredential;
    private readonly object _lockObj = new object();

    public DynamicWindowsCredential(string username, string domain, IAAM aamService)
    {
        _username = username;
        _domain = domain;
        _aamService = aamService;
        // 初始化时预加载一次凭证
        _currentCredential = GetNewCredential().GetAwaiter().GetResult();
    }

    // HttpClient请求需要认证时会调用此方法获取凭证
    public NetworkCredential? GetCredential(Uri uri, string authType)
    {
        lock (_lockObj)
        {
            return _currentCredential;
        }
    }

    // 手动触发刷新凭证的方法
    public async Task RefreshCredential()
    {
        lock (_lockObj)
        {
            _currentCredential = await GetNewCredential();
        }
    }

    // 从IAAM服务获取最新密码并生成凭证
    private async Task<NetworkCredential> GetNewCredential()
    {
        var password = await _aamService.GetPasswordAsync(_username);
        return new NetworkCredential(_username, password, _domain);
    }
}

步骤2：修改HttpHandler配置 #

将原有的静态CredentialCache替换为动态凭证类：

public static Func<IServiceProvider, SocketsHttpHandler> CreateWindowsAuthHandler()
{
    return serviceProvider =>
    {
        var dynamicCredential = serviceProvider.GetRequiredService<DynamicWindowsCredential>();

        return new SocketsHttpHandler
        {
            Credentials = dynamicCredential,
            PreAuthenticate = true,
            UseProxy = false
        };
    };
}

步骤3：注册服务并添加401重试策略 #

将动态凭证注册到DI容器，同时为HttpClient添加Polly重试策略，遇到401时刷新凭证并重试：

// 注册动态凭证为单例服务
services.AddSingleton<DynamicWindowsCredential>(sp => 
    new DynamicWindowsCredential("你的服务账户名", "你的域名", sp.GetRequiredService<IAAM>()));

// 配置HttpClient，绑定动态凭证和重试策略
services.AddHttpClient<IMyClient, MyClient>()
    .ConfigurePrimaryHttpMessageHandler(CreateWindowsAuthHandler)
    .AddPolicyHandler((sp, request) =>
    {
        var dynamicCredential = sp.GetRequiredService<DynamicWindowsCredential>();
        // 捕获401响应，刷新凭证后重试1次
        return Policy.HandleResult<HttpResponseMessage>(response => 
                response.StatusCode == HttpStatusCode.Unauthorized)
            .RetryAsync(1, async (result, retryCount) =>
            {
                await dynamicCredential.RefreshCredential();
                // 可选：添加日志记录，比如"检测到401，刷新凭证并重试"
            });
    });

关键说明 #

1. 动态凭证更新：DynamicWindowsCredential的GetCredential方法会在每次请求需要认证时被调用，确保使用最新缓存的凭证；当401触发重试时，会先调用RefreshCredential从IAAM获取新密码更新凭证。
2. 线程安全：用锁机制保证多线程环境下刷新凭证的原子性，避免并发问题。
3. Linux环境注意：确保主机已安装Kerberos客户端（如krb5-user）并正确配置，因为Negotiate认证在Linux上依赖Kerberos协议。

内容的提问来源于stack exchange，提问作者Gargoyle