如何在ASP.NET Minimal API中创建Azure Event Grid Webhook实现Blob触发授权端点调用

我有一个路径为/masterdata/initmediadb/{path}的ASP.NET Minimal API端点，功能是通过传入的路径读取并解析.tsv文件来初始化数据库，代码如下：

app.MapPost("/masterdata/initmediadb/{path}", async (
    string path,
    IMasterDataService masterDataService,
    IValidator<FilePath> validator,
    ILogger<Program> logger) =>
{
    var result = await validator.ValidateAsync(new FilePath { Path = path });
    if (!result.IsValid)
    {
        logger.LogError("Invalid path: {@path}, at initmediadb endpoint.", path);
        return Results.ValidationProblem(result.ToDictionary());
    }

    await masterDataService.InitMediaDatabaseAsync(path);
    return Results.Ok();
})
.RequireAuthorization("MustBeAdmin");

我希望在Azure Blob存储发生更新（比如新增.tsv文件）时自动调用这个端点，完成读取、解析并保存到数据库的操作。请问需要使用哪种事件类型？如何编写对应的端点？

补充说明：该端点需要授权，授权由Okta处理，验证通过后会返回token。同时我想了解如何在ASP.NET Minimal API中创建Azure Event Grid Webhook。

一、选择合适的Event Grid事件类型 #

针对Azure Blob存储的文件新增/更新场景，需选择**Microsoft.Storage.BlobCreated事件类型。该事件会在Blob被成功创建（包括上传、覆盖现有文件）时触发，完全匹配.tsv文件新增后触发处理的需求。若需单独处理Blob内容更新场景，可额外订阅Microsoft.Storage.BlobUpdated**事件，但多数场景下BlobCreated已能覆盖新增和覆盖操作。

二、ASP.NET Minimal API中创建Event Grid Webhook端点 #

1. 引入必要NuGet包 #

先安装Azure Event Grid SDK：

dotnet add package Azure.Messaging.EventGrid

2. 编写Webhook端点代码 #

在Minimal API中创建接收Event Grid事件的POST端点，直接复用现有数据库初始化逻辑：

using Azure.Messaging.EventGrid;
using Azure.Messaging.EventGrid.SystemEvents;

// 注册Event Grid Webhook端点
app.MapPost("/eventgrid/blob-webhook", async (
    HttpRequest req,
    IMasterDataService masterDataService,
    IValidator<FilePath> validator,
    ILogger<Program> logger) =>
{
    // 解析Event Grid事件
    var eventGridEvents = await EventGridEvent.ParseAsync(req.Body);
    
    foreach (var eventGridEvent in eventGridEvents)
    {
        // 仅处理BlobCreated事件
        if (eventGridEvent.EventType == SystemEventNames.StorageBlobCreated)
        {
            // 解析Blob元数据
            var blobEventData = eventGridEvent.Data.ToObjectFromJson<StorageBlobCreatedEventData>();
            // 提取Blob路径（根据你的存储结构调整，此处以Blob名称作为路径参数）
            var blobPath = blobEventData.BlobName;

            // 复用现有路径验证与数据库初始化逻辑
            var validationResult = await validator.ValidateAsync(new FilePath { Path = blobPath });
            if (!validationResult.IsValid)
            {
                logger.LogError("Invalid blob path: {@path}, from Event Grid webhook.", blobPath);
                return Results.ValidationProblem(validationResult.ToDictionary());
            }

            await masterDataService.InitMediaDatabaseAsync(blobPath);
            logger.LogInformation("Successfully processed blob: {@blobPath}", blobPath);
        }
        else
        {
            logger.LogInformation("Received unsupported event type: {@eventType}", eventGridEvent.EventType);
        }
    }
    
    return Results.Ok();
})
// 复用现有Admin授权策略
.RequireAuthorization("MustBeAdmin");

3. 验证Event Grid请求（必做） #

为防止非法请求，需验证Event Grid的请求签名：

• 在Azure门户的Event Grid订阅中设置验证密钥
• 在代码中通过EventGridSubscriber验证签名，示例片段：

var subscriber = new EventGridSubscriber("<你的Event Grid验证密钥>");
var validatedEvents = await subscriber.SubscribeAndParseEventsAsync(req.Body, req.Headers);

三、Okta授权适配 #

Webhook端点直接复用现有MustBeAdmin授权策略，确保Okta配置正确：

builder.Services.AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
    .AddJwtBearer(options =>
    {
        options.Authority = "https://<你的Okta域名>/oauth2/default";
        options.Audience = "<你的API Audience>";
    });

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("MustBeAdmin", policy =>
        policy.RequireClaim("groups", "admin")); // 匹配Okta中配置的管理员组
});

在Azure Event Grid订阅的端点配置中，选择Token身份验证，填入Okta生成的管理员权限token，确保请求携带有效授权头。

四、Azure Event Grid订阅配置 #

1. 在Azure门户中选择目标Blob存储账户作为事件源
2. 选择Microsoft.Storage.BlobCreated作为订阅事件类型
3. 选择Webhook作为端点类型，填入部署后的Webhook URL（如https://your-api-domain/eventgrid/blob-webhook）
4. 配置身份验证：选择Token，填入Okta生成的管理员token

内容的提问来源于stack exchange，提问作者Ruby Rain