ASP.NET Core控制器中如何获取Bearer令牌并调用下游API？

核心问题说明 #

你之前的错误是因为控制器里直接使用了Startup类Configure方法中的局部变量app，这个变量在控制器上下文里根本不存在。获取令牌、调用外部API的逻辑应该放在控制器的Action方法中，Startup只负责服务注册和请求管道配置，不适合存放业务逻辑。

正确实现步骤 #

结合你已经配置的Microsoft Identity认证，我们可以通过依赖注入ITokenAcquisition服务来获取令牌，同时用IHttpClientFactory管理HttpClient（避免手动new导致的资源浪费问题）。

1. 修改HomeController构造函数，注入所需服务

在控制器中注入ITokenAcquisition和IHttpClientFactory：

public class HomeController : Controller
{
    private readonly ILogger<HomeController> _logger;
    private readonly ITokenAcquisition _tokenAcquisition;
    private readonly IHttpClientFactory _httpClientFactory;

    const string scopeRequiredByApi = "user_impersonation";
    // 建议从配置文件读取，不要硬编码敏感信息
    private readonly string _apiClientId = "{my_clientId}";
    private readonly string _apiUrl = "{source url}";

    public HomeController(ILogger<HomeController> logger, 
                          ITokenAcquisition tokenAcquisition,
                          IHttpClientFactory httpClientFactory)
    {
        _logger = logger;
        _tokenAcquisition = tokenAcquisition;
        _httpClientFactory = httpClientFactory;
    }

    // ... 其他Action方法保持不变
}

2. 重写GetAsync方法，正确获取令牌并调用API

替换原来的GetAsync逻辑，用ITokenAcquisition获取令牌，再用工厂创建的HttpClient发起请求：

[HttpGet]
[RequiredScope(scopeRequiredByApi)]
public async Task<IActionResult> GetAsync()
{
    // 定义要请求的API权限范围
    var scopes = new[] { $"api://{_apiClientId}/user_impersonation" };

    // 通过ITokenAcquisition获取用户访问令牌
    var accessToken = await _tokenAcquisition.GetAccessTokenForUserAsync(scopes);

    // 从HttpClientFactory获取HttpClient实例
    var httpClient = _httpClientFactory.CreateClient();
    httpClient.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);

    // 调用外部API
    var response = await httpClient.GetAsync(_apiUrl);

    // 根据API返回结果处理响应
    if (response.IsSuccessStatusCode)
    {
        var content = await response.Content.ReadAsStringAsync();
        return Ok(content);
    }
    else
    {
        return StatusCode((int)response.StatusCode, await response.Content.ReadAsStringAsync());
    }
}

3. 补充：在Startup中注册HttpClientFactory（推荐）

如果你的Startup还没注册IHttpClientFactory，需要在ConfigureServices里添加一行：

services.AddHttpClient();

ASP.NET Core 3.0+默认已包含该注册，但明确声明更稳妥。

额外优化建议 #

• 不要硬编码ClientId、API地址等信息，建议放在appsettings.json中，通过IConfiguration读取。
• 可以利用你Startup中已配置的AddDownstreamApi，直接注入IDownstreamApi服务来简化调用，无需手动处理令牌和HttpClient，代码会更简洁。

内容的提问来源于stack exchange，提问作者Ibrahim Memet