.NET 7 Web API：JWT Bearer请求头添加位置及全局生效问题

一、设置JWT请求头的位置 #

分两种常见场景来确定执行位置：

1. 客户端调用API时设置 #

如果是外部客户端（比如桌面应用、前端代理服务、其他业务服务）调用你的Web API，这段代码要放在客户端获取到JWT令牌之后、发起首个需要授权的API请求之前执行。

• 要是客户端复用同一个HttpClient实例，只需要设置一次；如果每次请求都新建HttpClient，那每次发起请求前都得重新配置请求头。

2. API内部调用下游服务时设置 #

如果你的Web API本身需要调用其他受JWT保护的下游服务，这段代码应该放在初始化下游服务HttpClient实例的位置，比如Program.cs的服务注册代码里，或者专门的HTTP客户端工厂配置逻辑中。

二、设置一次是否会应用于所有请求 #

只要你复用同一个HttpClient实例，设置DefaultRequestHeaders.Authorization后，这个请求头会自动附加到该实例发起的所有后续请求中。

但要注意两个细节：

• 若每次请求都新建HttpClient（比如在每个API调用方法里new HttpClient()），之前的设置不会生效，每次都得重新添加请求头。
• 当JWT令牌过期后，需要重新获取新令牌并更新这个请求头，否则后续请求会因令牌无效被拒绝。

补充：依赖注入方式复用HttpClient示例 #

如果客户端用依赖注入管理HttpClient，可以这样配置：

// 在Program.cs中注册带授权的HttpClient
builder.Services.AddHttpClient("AuthorizedApiClient", client =>
{
    client.BaseAddress = new Uri("https://your-api-domain.com/");
    // 已拿到JWT时直接配置；若令牌需动态获取，就在使用前更新此处
    client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", "your-jwt-token");
});

然后在需要调用API的服务中注入IHttpClientFactory使用：

private readonly IHttpClientFactory _httpClientFactory;

public YourBusinessService(IHttpClientFactory httpClientFactory)
{
    _httpClientFactory = httpClientFactory;
}

public async Task AccessProtectedEndpoint()
{
    var client = _httpClientFactory.CreateClient("AuthorizedApiClient");
    // 发起的请求会自动携带Authorization头
    var response = await client.GetAsync("api/protected-resource");
}

内容的提问来源于stack exchange，提问作者MTplus