ASP.NET Core MVC中HttpPost获取Azure AD令牌调用接口遇403问题

核心问题分析 #

1. 同步阻塞导致死锁：Post请求的Index方法里用GetToken().Result同步等待异步方法，ASP.NET Core的请求上下文会被阻塞，导致首次请求无响应；第二次请求时线程状态异常，拿到的令牌无效，触发403禁止。
2. HttpClient滥用：每次请求新建HttpClient会造成资源浪费，甚至套接字耗尽，影响请求稳定性。
3. 令牌获取逻辑冗余：单独抽离GetToken方法完全没必要，反而增加异步调用的复杂度。

修复后的控制器代码 #

[Authorize]
public class HomeController : Controller
{
    private readonly ILogger<HomeController> _logger;
    private readonly IAuthorizationHeaderProvider _authorizationHeaderProvider;
    private readonly HttpClient _httpClient;

    // 注入IHttpClientFactory提供的HttpClient
    public HomeController(ILogger<HomeController> logger, 
                          IAuthorizationHeaderProvider authorizationHeaderProvider,
                          HttpClient httpClient)
    {
        _logger = logger;
        _authorizationHeaderProvider = authorizationHeaderProvider;
        _httpClient = httpClient;
    }

    [AuthorizeForScopes(Scopes = new[] { "api://{my_app_id}/access_as_user" })]
    public IActionResult Index()
    {
        return View();
    }

    [HttpPost]
    [AuthorizeForScopes(Scopes = new[] { "api://{my_app_id}/access_as_user" })]
    public async Task<IActionResult> Index(string id)
    {
        // 异步获取令牌，避免死锁
        string[] scopes = new[] { "api://{my_app_id}/access_as_user" };
        string accessToken = await _authorizationHeaderProvider.CreateAuthorizationHeaderForUserAsync(scopes); 

        // 清理Authorization头（避免复用HttpClient时的残留）
        _httpClient.DefaultRequestHeaders.Remove("Authorization");
        _httpClient.DefaultRequestHeaders.Add("Authorization", accessToken);

        string resourceUrl = $"https://....../{id}";
        string json = await _httpClient.GetStringAsync(resourceUrl);

        return View(json);
    }
    // ...其他方法
}

额外配置调整（Program.cs） #

在builder.Services中添加HttpClient注册，替代手动创建：

// 在AddControllersWithViews之前添加
builder.Services.AddHttpClient();

403错误额外排查点 #

1. 确认Azure AD应用注册中，已为你的MVC应用授予下游API的access_as_user权限，并且已完成管理员同意（如果是租户级权限）。
2. 验证下游API的Audience是否与令牌中的aud声明匹配，确保API接受你的MVC应用的令牌。
3. 检查令牌的过期时间，CreateAuthorizationHeaderForUserAsync会自动处理缓存和刷新，只要逻辑正确就不会出现过期问题。

内容的提问来源于stack exchange，提问作者Ibrahim Memet