.NET调用第三方API时Header加API Key遇授权拒绝，求正确方法

你的问题核心是请求Header的键值对与第三方API要求不匹配，导致授权拒绝。结合你提供的信息和Postman能成功的前提，按以下步骤排查和修正：

1. 确认Postman中的请求Header结构 #

先打开Postman的请求详情，切换到Headers标签页，找到你添加API Key的那一行，确认：

• Header的**键（Key）**到底是ApiKey，还是你提供的3tc97512-198y-12bt-847c-fdd50d583123
• 对应的**值（Value）**是否为testApiToken

你当前代码中添加的是client.DefaultRequestHeaders.Add("ApiKey", "testApiToken");，如果Postman里的Header键是那个GUID字符串，那这就是错误的根源。

2. 修正Header的添加方式 #

情况一：Header键为GUID字符串 #

如果Postman中API Key的Header键是3tc97512-198y-12bt-847c-fdd50d583123，值为testApiToken，修改代码中的Header添加逻辑：

client.DefaultRequestHeaders.Add("3tc97512-198y-12bt-847c-fdd50d583123", "testApiToken");

情况二：使用标准授权Header格式 #

部分API会要求用Authorization Header传递API Key，格式为Authorization: ApiKey {你的Token}，这种情况下代码应该改为：

client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("ApiKey", "testApiToken");

3. 其他可能的问题排查 #

• 检查是否遗漏其他必填Header：有些API会校验User-Agent等Header，Postman默认会添加，而.NET的HttpClient默认可能没有，你可以手动添加：

  client.DefaultRequestHeaders.UserAgent.ParseAdd("Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/114.0.0.0 Safari/537.36");
  

• HttpClient的最佳实践：不要在每次请求时新建HttpClient，应该通过依赖注入注入到控制器中，避免Socket耗尽问题。修改后的控制器示例：

  namespace API.Controllers.GetUsersFromThirdPartyAPI
  {
      [ApiController]
      [Route("[controller]")]
      public class GetAllUsers : BaseApiController
      {
          private readonly DataContext _context;
          private readonly HttpClient _httpClient;
  
          // 通过构造函数注入HttpClient
          public GetAllUsers(DataContext context, HttpClient httpClient)
          {
              _context = context;
              _httpClient = httpClient;
              // 可以在这里配置BaseAddress和默认Header
              _httpClient.BaseAddress = new Uri("https://gate-api.hemsa.se:4004");
              _httpClient.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));
          }
  
          [HttpGet]
          public async Task<IActionResult> Get()
          {
              // 根据实际情况添加正确的API Key Header
              _httpClient.DefaultRequestHeaders.Add("3tc97512-198y-12bt-847c-fdd50d583123", "testApiToken");
  
              var response = await _httpClient.GetAsync("/api/3tc97512-198y-12bt-847c-fdd50d583123/hms/hemsaRoster/v2p2/users");
  
              // 建议检查响应状态码，而不是直接返回Ok(response)
              if (response.IsSuccessStatusCode)
              {
                  var data = await response.Content.ReadFromJsonAsync<YourUserModel>();
                  return Ok(data);
              }
              else
              {
                  // 可以返回错误信息或状态码
                  return StatusCode((int)response.StatusCode, await response.Content.ReadAsStringAsync());
              }
          }
      }
  }
  

4. 验证修改 #

修改后重新请求，若仍失败，可以捕获响应的内容（比如await response.Content.ReadAsStringAsync()），查看第三方API返回的具体错误信息，进一步定位问题。

内容的提问来源于stack exchange，提问作者Nicholai Mørch Rindarøy