如何在Azure API Management中处理非JWT格式的订阅密钥Bearer认证？

完全可以通过Azure APIM的入站策略实现这个场景，核心思路是提取Authorization: Bearer <订阅密钥>中的密钥值，转换为APIM可识别的订阅密钥验证格式，具体配置步骤如下：

• 步骤1：提取Bearer令牌中的订阅密钥
  使用set-variable策略从Authorization头中剥离Bearer 前缀，提取出纯订阅密钥值。

• 步骤2：转换为标准订阅密钥头
  将提取的密钥设置到APIM默认的订阅密钥验证头Ocp-Apim-Subscription-Key中。

• 步骤3：执行订阅密钥验证
  调用validate-subscription-key策略完成密钥合法性校验。

完整的入站策略代码如下：

<inbound>
    <!-- 提取Authorization头中Bearer后的订阅密钥 -->
    <set-variable name="extractedSubscriptionKey" value="@(context.Request.Headers.GetValueOrDefault("Authorization", "").Trim().Replace("Bearer ", ""))" />
    <!-- 将提取的密钥覆盖到标准订阅密钥头 -->
    <set-header name="Ocp-Apim-Subscription-Key" exists-action="override">
        <value>@((string)context.Variables["extractedSubscriptionKey"])</value>
    </set-header>
    <!-- 验证订阅密钥有效性 -->
    <validate-subscription-key header-name="Ocp-Apim-Subscription-Key" />
    <!-- 可选：删除原始Authorization头，避免后端接收到无关内容 -->
    <set-header name="Authorization" exists-action="delete" />
</inbound>

关键细节说明 #

1. 该策略可直接应用在API级别或产品级别，确保所有指向目标API的请求都经过处理。
2. 如果你的后端服务需要保留Authorization头，可移除最后一步的set-header删除操作。
3. 若需要对空值或格式错误的Authorization头做额外校验，可添加choose分支逻辑处理异常场景，比如返回401未授权响应。

内容的提问来源于stack exchange，提问作者user20034278