ASP.NET Core中On-Behalf-Of令牌实现的潜在问题咨询

一、性能问题 #

• 重复创建IConfidentialClientApplication与加载证书：每次获取OBO令牌时，都会重新从磁盘读取证书并创建新的ConfidentialClientApplication实例。证书加载和CCA实例化属于高开销操作，这正是导致令牌获取耗时超400ms的核心原因。
• 忽略请求取消令牌：在AuthorizationHeaderValueGetter中传递default作为CancellationToken，当上游请求被取消时，令牌获取操作不会中断，会造成不必要的资源浪费。
• 缓存过期策略不匹配实际令牌生命周期：硬编码缓存过期时间，未使用Azure AD返回的OBO令牌实际过期时长（result.ExpiresOn），可能导致缓存的令牌提前失效或过期后仍被调用。

二、安全问题 #

• 缓存键使用原始用户AccessToken：用户AccessToken属于敏感凭证，即便经过编码，作为缓存键存储仍存在泄露风险；且过长的键值会增加内存占用和缓存查找开销。
• 证书与密码的不安全处理：每次从磁盘读取证书，若配置中的密码未加密则存在明文泄露风险；同时未对证书实例进行安全处置（如使用后释放资源）。
• 异常信息不规范且可能泄露细节：抛出的ArgumentNullException参数名错误（应为httpAccessToken而非错误消息），且错误消息包含业务细节，不符合安全规范。
• 进程内缓存的局限性：使用MemoryCache属于进程内缓存，多实例部署时会重复缓存令牌，实例重启后缓存丢失；且缓存内容未加密，令牌作为敏感数据存在泄露风险。

三、重复造轮子问题 #

• 自行实现令牌缓存：MSAL库（Microsoft.Identity.Client）本身内置了完善的令牌缓存机制，AcquireTokenOnBehalfOf方法会自动处理令牌的缓存、刷新和过期逻辑，自行实现缓存属于重复开发，且可能存在逻辑漏洞（如未处理令牌刷新场景）。
• 未使用官方封装库：Microsoft.Identity.Web库已封装Azure AD OBO流程的全套实现，包括CCA实例管理、令牌缓存、HttpClient集成等，无需自行编写底层逻辑，能避免手动实现的潜在问题。

优化方向示例 #

1. 复用IConfidentialClientApplication实例：将CCA注册为单例服务，一次性加载证书，避免重复开销：

services.AddSingleton<IConfidentialClientApplication>(sp =>
{
    var adSettings = sp.GetRequiredService<IOptions<AzureAdAuthOptions>>().Value;
    var certMetadata = adSettings.ClientCertificates[0];
    var certificate = new X509Certificate2(certMetadata.CertificateDiskPath, certMetadata.CertificatePassword);
    
    return ConfidentialClientApplicationBuilder
        .Create(adSettings.ClientId)
        .WithTenantId(adSettings.TenantId)
        .WithCertificate(certificate)
        .Build();
});

2. 利用MSAL内置缓存替代自定义缓存：移除手动MemoryCache逻辑，直接调用MSAL方法自动处理缓存：

public async Task<string> GetAccessToken(CancellationToken token)
{
    var adSettings = _azureAdOptions.Value;
    string[] scopes = new string[] { "https://foo.test.com/access_as_user" };

    string? httpAccessToken = _httpContextAccessor.HttpContext?.Request?.Headers[HeaderNames.Authorization]
        .ToString()
        ?.Replace("Bearer ", "");
    if (httpAccessToken == null)
        throw new ArgumentNullException(nameof(httpAccessToken), "Failed to generate access token (OBO flow)");

    var assertion = new UserAssertion(httpAccessToken);
    var result = await _cca.AcquireTokenOnBehalfOf(scopes, assertion).ExecuteAsync(token);
    return result.AccessToken;
}

3. 传递正确的取消令牌：在Refit配置中传递请求的CancellationToken：

.AddRefitClient(typeof(IBarIntegration), (sp) =>
{
    var accessTokenHelperService = sp.GetRequiredService<IAccessTokenHelperService>();
    return new RefitSettings
    {
        AuthorizationHeaderValueGetter = (cancellationToken) => accessTokenHelperService.GetAccessToken(cancellationToken)
    };
})

内容的提问来源于stack exchange，提问作者Alexei - check Codidact