通过Azure APIM调用Durable Function状态查询遇403禁止错误

1. 状态查询端点能否通过APIM暴露？ #

可以，Durable Functions的状态查询端点完全可以通过APIM暴露并正常使用，你遇到的403错误一般是APIM的配置或请求转发规则问题导致的。

2. 所需配置步骤 #

• 添加API并匹配端点路径：在APIM中创建指向Durable Function应用的API，务必包含/runtime/webhooks/durabletask/instances/{instanceId}这类路径模板，把{instanceId}设为动态参数，保证能匹配到具体的实例查询请求。
• 正确传递请求参数与头部：
  • 确保APIM不会篡改或丢弃原请求里的code查询参数（Function的访问密钥），可以在APIM的入站策略中添加<set-query-parameter name="code" exists-action="skip" />，强制保留该参数。
  • 如果你的Function应用启用了密钥验证，要确认APIM把code参数或者x-functions-key头部正确转发到后端Function。
• 配置后端访问权限：如果Function应用设置了IP白名单，需要把APIM的所有出站IP地址添加到Function应用的允许列表里；同时检查APIM的后端服务配置，确认Function的URL和验证密钥（如果用头部验证）填写正确。
• 排查APIM安全策略冲突：检查APIM是否有自定义的入站安全策略（比如IP过滤、APIM自身的密钥验证）和Function的验证规则冲突，可以暂时禁用不必要的策略，测试是否能正常访问。

3. 其他通过APIM查询Durable Function状态的方式 #

• 封装自定义查询API：在Function应用里写一个普通的HTTP触发函数，接收instanceId作为参数，内部通过Durable Client调用状态查询逻辑，再把结果返回。之后在APIM中暴露这个自定义函数的端点，这样可以统一用APIM的验证规则，不用直接暴露系统级的/runtime/webhooks路径。
• 用APIM策略转换Location头：当通过APIM调用编排函数拿到Location头后，用APIM的出站策略把原Location中的Function域名替换成APIM的域名，示例策略代码如下：

  <outbound>
    <set-header name="Location" exists-action="override">
      <value>@(context.Response.Headers.GetValueOrDefault("Location","").Replace("https://some-ulr-to-the-function-app.azurewebsites.net", "https://some-ulr-to-apim-service.azure-api.net"))</value>
    </set-header>
  </outbound>
  

  这样客户端拿到的Location头直接是APIM的地址，不用手动修改就能直接发起轮询。

内容的提问来源于stack exchange，提问作者user22366014