.NET 7 WebApi中AWS Cognito令牌验证的HttpClient优化疑问

首先明确：每次请求都创建HttpClient是严重的性能问题，会导致系统Socket资源耗尽，这是.NET开发中的常见坑。HttpClient的设计初衷是复用实例（它是线程安全的），频繁创建销毁会带来不必要的开销。

关于HttpClient的正确用法 #

不管用不用using包裹，每次实例化HttpClient都不可取。正确的做法是：

• 使用.NET内置的IHttpClientFactory来管理HttpClient生命周期（推荐），它会自动处理连接池和实例复用。
• 或者注册一个单例的HttpClient实例，在整个应用生命周期内复用。

同步阻塞的问题 #

你的代码里用.GetAwaiter().GetResult()同步阻塞异步方法，在WebApi场景下可能引发死锁风险（尤其是在有同步上下文的环境中），这也是需要避免的。

优化方案：复用HttpClient + 缓存密钥 #

既然你知道每次调用AWS端点不理想，那核心优化点就是缓存密钥，结合复用HttpClient来减少开销。AWS Cognito的密钥轮换周期较长（通常是小时级），缓存15-30分钟完全可行。

以下是具体实现步骤：

1. 注册HttpClient
   在Program.cs中添加HttpClient服务注册：

builder.Services.AddHttpClient();
// 或者注册一个命名HttpClient专门用于AWS密钥获取
builder.Services.AddHttpClient("AWSJWKS", client =>
{
    client.BaseAddress = new Uri($"{builder.Configuration["AWS:Issuer"]}/");
});

2. 添加缓存服务
   同样在Program.cs中注册内存缓存：

builder.Services.AddMemoryCache();

3. 修改密钥解析逻辑
   在配置JWT验证时，注入IHttpClientFactory和IMemoryCache，实现复用HttpClient+缓存的逻辑：

var httpClientFactory = builder.Services.BuildServiceProvider().GetRequiredService<IHttpClientFactory>();
var cache = builder.Services.BuildServiceProvider().GetRequiredService<IMemoryCache>();
var jwksUrl = $"{builder.Configuration["AWS:Issuer"]}/.well-known/jwks.json";

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.TokenValidationParameters = new TokenValidationParameters
        {
            // 其他验证参数...
            IssuerSigningKeyResolver = (s, securityToken, identifier, parameters) =>
            {
                // 尝试从缓存获取密钥集
                if (!cache.TryGetValue("AWSJWKS", out JsonWebKeySet keySet))
                {
                    var httpClient = httpClientFactory.CreateClient("AWSJWKS");
                    // 这里如果必须同步调用，可使用ConfigureAwait(false)降低死锁风险
                    var json = httpClient.GetStringAsync(".well-known/jwks.json")
                        .ConfigureAwait(false).GetAwaiter().GetResult();
                    keySet = JsonWebKeySet.Create(json);
                    
                    // 设置缓存过期时间，比如15分钟
                    cache.Set("AWSJWKS", keySet, TimeSpan.FromMinutes(15));
                }
                return keySet.Keys;
            }
        };
    });

额外建议 #

如果你的应用允许异步解析密钥，可以考虑使用JwtBearerOptions的ConfigurationManager属性，它内置了密钥缓存和自动刷新逻辑，无需手动处理：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = builder.Configuration["AWS:Issuer"];
        options.Audience = "your-audience";
        // ConfigurationManager会自动处理密钥获取和缓存
        options.ConfigurationManager = new ConfigurationManager<OpenIdConnectConfiguration>(
            $"{options.Authority}/.well-known/openid-configuration",
            new OpenIdConnectConfigurationRetriever(),
            new HttpDocumentRetriever(httpClientFactory.CreateClient())
        );
    });

这种方式更简洁，.NET会自动帮你管理密钥的获取、缓存和刷新，无需手动编写密钥解析逻辑。

内容的提问来源于stack exchange，提问作者Jason