ASP.NET MVC重定向外部页面时添加Bearer令牌的问题

首先得明确：ASP.NET MVC的Redirect方法没法直接携带请求头，这是HTTP重定向的机制决定的——服务器返回3xx状态码后，浏览器会发起全新的GET请求到目标URL，这个新请求不会带上你想加的Authorization头。下面给几个可行的解决办法：

1. 将令牌作为查询参数传递（简易但有风险） #

如果目标页面支持从URL查询参数获取令牌，可以直接把令牌拼在URL后面：

public ActionResult Index()
{
    string URL = "https://www.example.com";
    AccessTokenModel atm = Newtonsoft.Json.JsonConvert.DeserializeObject<AccessTokenModel>(response);
    
    // 转义令牌避免URL编码问题
    string redirectUrl = $"{URL}?access_token={Uri.EscapeDataString(atm.access_token)}";
    return Redirect(redirectUrl);
}

⚠️ 注意：查询参数会暴露在URL、浏览器历史和服务器日志里，只适合非敏感场景，必须用HTTPS传输，且目标服务要支持这种验证方式。

2. 自动提交表单POST（更安全） #

生成一个自动提交的HTML表单，把令牌放在隐藏字段里提交给目标页面，目标服务需要支持POST请求并读取表单中的令牌：

public ActionResult Index()
{
    string targetUrl = "https://www.example.com";
    AccessTokenModel atm = Newtonsoft.Json.JsonConvert.DeserializeObject<AccessTokenModel>(response);
    
    var autoSubmitForm = $@"
    <html>
        <body onload='document.getElementById(""tokenForm"").submit()'>
            <form id='tokenForm' action='{targetUrl}' method='POST'>
                <input type='hidden' name='Authorization' value='Bearer {atm.access_token}' />
            </form>
        </body>
    </html>";
    
    return Content(autoSubmitForm, "text/html");
}

这种方式令牌不会出现在URL里，安全性比查询参数高很多，适合大多数需要传递敏感令牌的场景。

3. 服务端反向代理转发（无前端跳转） #

如果业务允许不直接跳转到外部页面，可以让你的MVC服务作为代理，先带着令牌请求目标页面，再把响应内容返回给客户端：

public async Task<ActionResult> Index()
{
    string targetUrl = "https://www.example.com";
    AccessTokenModel atm = Newtonsoft.Json.JsonConvert.DeserializeObject<AccessTokenModel>(response);
    
    using (var httpClient = new HttpClient())
    {
        httpClient.DefaultRequestHeaders.Authorization = new System.Net.Http.Headers.AuthenticationHeaderValue("Bearer", atm.access_token);
        var proxyResponse = await httpClient.GetAsync(targetUrl);
        
        var responseContent = await proxyResponse.Content.ReadAsStringAsync();
        var contentType = proxyResponse.Content.Headers.ContentType?.ToString() ?? "text/html";
        return Content(responseContent, contentType);
    }
}

这种方式客户端感知不到外部页面的存在，所有请求都通过你的服务中转，适合需要隐藏外部服务地址或严格控制令牌传输的场景。

内容的提问来源于stack exchange，提问作者Joseph