为何修改依赖注入配置能解决.NET Core应用的套接字句柄泄漏问题？

我有一个部署在Azure App Service上的.NET Core Web应用，该API仅有一个端点，功能为调用另一个API（在MyClass内部）并返回响应。

初始配置 #

Startup中的初始依赖注入配置如下：

services.AddScoped<IOAuthService, OAuthService>();
services.AddHttpClient<IMyClass, MyClass>(client =>
{
    var authConfig = config.Get<OAuthConfig>();
    var oAuthService = services.BuildServiceProvider().GetRequiredService<IOAuthService>();

    var token = oAuthService.GetTokenAsync(authConfig).GetAwaiter().GetResult();
    client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", token);
});

OAuthService的GetTokenAsync方法实现：

private IConfidentialClientApplication app;
public async Task<string> GetTokenAsync(OAuthConfig config)
{
    app ??= ConfidentialClientApplicationBuilder.Create(config.ClientId)
        .WithTenantId(config.TenantId)
        .WithClientSecret(config.ClientSecret)
        .WithLegacyCacheCompatibility(false) // No need to share with ADAL.NET; increases performance
        .Build();

    var scopes = new string[] { $"{config.Resource}/.default" };
    var authResult = await app.AcquireTokenForClient(scopes)
        .ExecuteAsync()
        .ConfigureAwait(false);

    return authResult.AccessToken;
}

使用上述配置时，应用出现套接字句柄泄漏及SNAT端口耗尽问题。

修改后的配置 #

修改为以下配置后问题解决：

1. 不在依赖注入配置阶段一次性获取令牌，而是每次请求时在MyClass中动态获取（OAuthService无需修改）；
2. 依赖注入代码修改为：

services.AddSingleton<IOAuthService, OAuthService>();
services.AddHttpClient<IHdcApiDataConnector, HdcApiDataConnector>();

原因分析 #

初始配置的核心问题 #

1. 同步阻塞调用异步方法引发资源异常
   在AddHttpClient的配置委托中，使用GetAwaiter().GetResult()同步阻塞调用异步的GetTokenAsync方法，这会导致线程池线程被长时间占用，破坏异步编程模型，进而引发线程池资源耗尽，间接导致套接字句柄无法及时释放。
   同时，在应用启动阶段（无请求上下文）获取Scoped的IOAuthService，会强制创建额外的服务提供者实例，这些实例无法被正常回收，引发资源泄漏。

2. HttpClient实例被绑定静态令牌，导致池化失效
   HttpClientFactory的核心优势是池化复用底层的HttpMessageHandler，减少套接字句柄的创建。但初始配置中，在HttpClient实例创建时就把静态令牌写入DefaultRequestHeaders，而令牌存在过期时间：

   • 令牌过期后，使用该HttpClient的请求会全部失败；
   • HttpClientFactory会被迫创建大量新的HttpClient实例来尝试处理请求；
   • 每个新实例都会占用新的套接字句柄和SNAT端口，最终导致资源耗尽。

修改后配置的解决逻辑 #

1. 将IOAuthService改为Singleton
   OAuthService内部的IConfidentialClientApplication是设计为复用的对象，Singleton生命周期可以避免每次请求重复创建OAuthService实例，减少不必要的对象创建和资源消耗，同时符合其实际使用场景。

2. 动态获取令牌，恢复HttpClient池化能力
   不在HttpClient配置阶段设置令牌，而是在每次请求时动态调用GetTokenAsync获取最新有效令牌，这样：

   • 每个请求都使用有效令牌，不会因为令牌过期导致HttpClient实例失效；
   • HttpClientFactory可以正常池化HttpClient实例，复用底层的HttpMessageHandler，大幅减少套接字句柄和SNAT端口的占用。

3. 移除同步阻塞调用
   在MyClass中异步调用GetTokenAsync，遵循异步编程模型，避免线程池阻塞问题，进一步减少资源泄漏的可能。

内容的提问来源于stack exchange，提问作者havij