如何在APIM策略中解析请求头并传递至后端？Base64无效错误

首先得明确问题根源：你当前的策略直接把Authorization头的值拿去做Base64解码，但Azure AD生成的Access Token是JWT令牌——它采用Base64URL编码（和标准Base64存在字符差异），且结构是header.payload.signature三部分用点分隔，直接用Convert.FromBase64String处理整个令牌必然报错：点不属于Base64字符，同时Base64URL里的-、_也不符合标准Base64的字符集要求。

下面根据你的需求提供两种解决方案：

方案1：解析JWT的Payload部分（提取用户/令牌信息传递给后端） #

如果你的目标是把令牌内的用户声明（比如用户ID、角色等）解析出来，放到x-request-context-data头传递给后端，需要按JWT结构拆分，将Base64URL转成标准Base64后再解码：

修改后的APIM策略代码：

<policies>
    <inbound>
        <set-header name="x-request-context-data" exists-action="override">
            <value>@{
                string[] authHeaderValues;
                if (context.Request.Headers.TryGetValue("Authorization", out authHeaderValues) && authHeaderValues != null && authHeaderValues.Length > 0)
                {
                    var authHeader = authHeaderValues[0].Trim();
                    // 提取Bearer令牌（去除"Bearer "前缀）
                    if (authHeader.StartsWith("Bearer ", StringComparison.OrdinalIgnoreCase))
                    {
                        var jwtToken = authHeader.Substring("Bearer ".Length).Trim();
                        // 拆分JWT的三个组成部分
                        var jwtParts = jwtToken.Split('.');
                        if (jwtParts.Length == 3)
                        {
                            // 处理Payload部分：Base64URL转标准Base64
                            var payloadBase64Url = jwtParts[1];
                            // 替换Base64URL专属字符为标准Base64字符
                            var payloadBase64 = payloadBase64Url.Replace('-', '+').Replace('_', '/');
                            // 补充Base64所需的填充符（=）
                            switch (payloadBase64.Length % 4)
                            {
                                case 2: payloadBase64 += "=="; break;
                                case 3: payloadBase64 += "="; break;
                            }
                            // 解码Payload并返回
                            try
                            {
                                return Encoding.UTF8.GetString(Convert.FromBase64String(payloadBase64));
                            }
                            catch
                            {
                                return "Invalid JWT payload";
                            }
                        }
                    }
                }
                return null;
            }</value>
        </set-header>
        <base />
        <set-backend-service id="apim-generated-policy" backend-id="backend-function" />
    </inbound>
    <backend>
        <base />
    </backend>
    <outbound>
        <base />
    </outbound>
    <on-error>
        <base />
    </on-error>
</policies>

代码说明： #

• 先校验Authorization头是否存在，再提取Bearer 前缀后的纯令牌内容
• 拆分JWT结构，只处理中间的Payload部分（这部分包含用户核心声明信息）
• 完成Base64URL到标准Base64的转换，补充必要的填充符
• 添加异常捕获，避免解码失败导致整个请求中断

方案2：直接转发原始令牌给后端（无需解析内容） #

如果你的后端API会自行处理令牌验证，不需要在APIM中解析内容，可直接将原始令牌传递给后端：

<policies>
    <inbound>
        <!-- 将原始令牌放到自定义头传递给后端 -->
        <set-header name="x-access-token" exists-action="override">
            <value>@{
                string[] authHeaderValues;
                if (context.Request.Headers.TryGetValue("Authorization", out authHeaderValues) && authHeaderValues != null && authHeaderValues.Length > 0)
                {
                    var authHeader = authHeaderValues[0].Trim();
                    if (authHeader.StartsWith("Bearer ", StringComparison.OrdinalIgnoreCase))
                    {
                        return authHeader.Substring("Bearer ".Length).Trim();
                    }
                }
                return null;
            }</value>
        </set-header>
        <base />
        <set-backend-service id="apim-generated-policy" backend-id="backend-function" />
    </inbound>
    <!-- 其他策略部分保持不变 -->
</policies>

额外注意事项 #

• 确保Postman中Authorization头的格式为Bearer <你的Azure AD令牌>，遵循OAuth2的规范格式
• 若需要在APIM中提前验证令牌有效性，可使用内置的validate-jwt策略拦截无效请求：

<validate-jwt header-name="Authorization" failed-validation-httpcode="401" failed-validation-error-message="Invalid token">
    <openid-config url="https://login.microsoftonline.com/你的租户ID/v2.0/.well-known/openid-configuration" />
    <required-claims>
        <claim name="aud">
            <value>你的API客户端ID（即api://xxxxxx-xxxx-xxxx-xxxx-xxxxxxxx/clientpoc）</value>
        </claim>
    </required-claims>
</validate-jwt>

内容的提问来源于stack exchange，提问作者kudlatiger