使用IOptionsMonitor动态更新WebConfig值失效问题及方案咨询

1. 配置职责混淆 #

appsettings.json是应用级静态配置，用于存储不随请求/用户变化的全局设置（如StaticProperty）；而用户令牌是请求级/用户级动态数据，将两者绑定会导致：

• 多用户并发请求时，令牌会被互相覆盖，出现用户串号问题
• 配置文件重载时，动态设置的令牌会丢失

2. IOptionsMonitor使用错误 #

你在中间件构造函数中缓存了webConfig.CurrentValue，但IOptionsMonitor的核心特性是配置更新时自动重新实例化配置对象：

• 当修改appsettings.json或更新静态文件触发应用重启/配置重载后，原有的appConfig实例会被替换为新的配置对象，而你的中间件仍持有旧实例，导致后续访问时令牌为null
• 直接修改IOptionsMonitor返回的配置对象，违背了配置的只读设计原则

3. 并发安全问题 #

全局共享的appConfig实例被多个请求同时修改，没有任何线程同步措施，必然会引发线程安全问题，导致令牌值混乱。

根据你的场景需求，推荐以下几种方案：

方案1：使用HttpContext.Items存储请求级令牌（最适合当前场景） #

令牌属于单个请求的上下文数据，生命周期与请求一致，用HttpContext.Items存储是最合理的选择：

步骤1：修改中间件 #

public class ClientMiddleware
{
    private readonly RequestDelegate _requestDelegate;

    public ClientMiddleware(RequestDelegate requestDelegate)
    {
        _requestDelegate = requestDelegate;
    }

    public async Task Invoke(HttpContext context)
    {
        // 获取令牌逻辑保持不变
        string authToken = string.IsNullOrWhiteSpace(context.User.Identity.Name) 
            ? context.Request.Query["api_token"].ToString() 
            : context.User.Identity.Name;

        // 将令牌存入当前请求的上下文容器
        context.Items["AuthToken"] = authToken;

        await _requestDelegate(context);
    }
}

步骤2：在Startup注册HttpContextAccessor #

public void ConfigureServices(IServiceCollection services)
{
    services.AddControllersWithViews();
    services.AddHttpContextAccessor(); // 必须注册才能在视图中访问HttpContext
    services.AddAuthentication();
    services.AddSession();
}

步骤3：修改视图获取令牌 #

@inject IHttpContextAccessor httpContextAccessor

<!DOCTYPE html>
<html>
<head>
    @{
        // 从HttpContext.Items获取令牌
        var authToken = httpContextAccessor.HttpContext.Items["AuthToken"] as string;
        // 从配置获取静态属性
        var staticProperty = Configuration.GetSection("WebConfig:StaticProperty").Value;
        // 组合成前端需要的Constants对象
        var constants = new { StaticProperty = staticProperty, AuthToken = authToken };
    }
    @Html.JsonConstantsScriptReact(constants, "Constants")
    <meta charset='utf-8'>
</head>
<body>
    @RenderBody()
</body>
</html>

方案2：使用Session存储跨请求令牌（如需用户会话保留） #

如果令牌需要在用户的多个请求之间保留（比如用户登录后持续使用），可以用Session：

中间件修改 #

public async Task Invoke(HttpContext context)
{
    string authToken = string.IsNullOrWhiteSpace(context.User.Identity.Name) 
        ? context.Request.Query["api_token"].ToString() 
        : context.User.Identity.Name;

    // 存入Session
    context.Session.SetString("AuthToken", authToken);

    await _requestDelegate(context);
}

视图获取 #

<!DOCTYPE html>
<html>
<head>
    @{
        var authToken = Context.Session.GetString("AuthToken");
        var staticProperty = Configuration.GetSection("WebConfig:StaticProperty").Value;
        var constants = new { StaticProperty = staticProperty, AuthToken = authToken };
    }
    @Html.JsonConstantsScriptReact(constants, "Constants")
    <meta charset='utf-8'>
</head>
<body>
    @RenderBody()
</body>
</html>

方案3：使用ClaimsPrincipal存储认证令牌（推荐用于已认证用户） #

如果用户是通过系统认证流程登录的，将令牌作为Claim添加到用户身份中，更符合ASP.NET Core的认证设计：

中间件修改 #

public async Task Invoke(HttpContext context)
{
    string authToken = string.IsNullOrWhiteSpace(context.User.Identity.Name) 
        ? context.Request.Query["api_token"].ToString() 
        : context.User.Identity.Name;

    // 将令牌添加到用户身份的Claims中
    var claimsIdentity = context.User.Identity as ClaimsIdentity;
    if (claimsIdentity != null && !claimsIdentity.HasClaim(c => c.Type == "AuthToken"))
    {
        claimsIdentity.AddClaim(new Claim("AuthToken", authToken));
    }

    await _requestDelegate(context);
}

视图获取 #

<!DOCTYPE html>
<html>
<head>
    @{
        var authToken = Context.User.FindFirst("AuthToken")?.Value;
        var staticProperty = Configuration.GetSection("WebConfig:StaticProperty").Value;
        var constants = new { StaticProperty = staticProperty, AuthToken = authToken };
    }
    @Html.JsonConstantsScriptReact(constants, "Constants")
    <meta charset='utf-8'>
</head>
<body>
    @RenderBody()
</body>
</html>

内容的提问来源于stack exchange，提问作者Shahzad