Azure API管理入站策略错误排查及流程控制实现咨询

一、策略语句错误排查 #

你遇到的'auth-context' is an unexpected token错误，根源在于<set-variable>策略的表达式写法不符合APIM语法规范，具体问题如下：

1. 表达式包裹方式错误：APIM中C#表达式需用@()包裹，而非{{}}（{{}}仅用于引用命名值）。
2. 引号冲突：表达式内部的双引号"auth-context"与外层包裹的双引号未转义，导致语法解析失败。
3. 类型转换写法不规范：直接强制转换的写法易引发解析问题，建议使用泛型方法GetValueOrDefault<T>。

修正后的<set-variable>策略如下：

<set-variable name="Test" value='@(context.Variables.GetValueOrDefault<Authorization>("auth-context"))' />

或者转义内部双引号的写法：

<set-variable name="Test" value="@(context.Variables.GetValueOrDefault<Authorization>(\"auth-context\"))" />

二、实现"authorizationId不匹配时模拟响应"的其他方法 #

除了通过get-authorization-context获取上下文后判断，还可以直接对比请求参数与命名值，结合<choose>策略实现逻辑：

方法1：直接参数对比 #

<!-- 获取请求中的authorizationId参数 -->
<set-variable name="requestAuthId" value="@(context.Request.Url.Query.GetValueOrDefault("authorizationId"))" />
<!-- 获取预定义的命名值（假设命名值名为ValidAuthorizationId） -->
<set-variable name="validAuthId" value="{{ValidAuthorizationId}}" />
<!-- 对比并模拟响应 -->
<choose>
    <when condition="@(!string.Equals((string)context.Variables["requestAuthId"], (string)context.Variables["validAuthId"], StringComparison.OrdinalIgnoreCase))">
        <return-response>
            <set-status code="403" reason="Forbidden" />
            <set-header name="Content-Type" exists-action="override">
                <value>application/json</value>
            </set-header>
            <set-body>{"error": "authorizationId不匹配，拒绝访问"}</set-body>
        </return-response>
    </when>
</choose>

方法2：结合validate-jwt策略（若authorizationId包含在JWT令牌中） #

如果authorizationId是JWT令牌中的Claim字段，可直接用<validate-jwt>策略验证：

<validate-jwt header-name="Authorization" failed-validation-httpcode="403" failed-validation-error-message="authorizationId不匹配">
    <issuers>
        <issuer>你的令牌颁发者地址</issuer>
    </issuers>
    <required-claims>
        <claim name="authorizationId" match="any">
            <value>{{ValidAuthorizationId}}</value>
        </claim>
    </required-claims>
</validate-jwt>

内容的提问来源于stack exchange，提问作者Ven