ASP.NET Core中Azure B2C获取JWT及跨API授权调用问题咨询

这其实就是服务间授权场景里常用的客户端凭据流（Client Credentials Flow），完全适配你这种两个Azure B2C保护的服务之间调用的需求，而且是Azure B2C官方支持的标准流程。

具体怎么在Admin API里实现获取令牌？ #

我给你梳理下.NET Core里的具体步骤：

1. 先搞定B2C应用的配置
   • 给Healthcare API对应的B2C应用注册应用程序权限，同时把Admin API的B2C应用添加为这个权限的授权对象
   • 给Admin API的B2C应用生成一个客户端密钥（或者用证书，证书更安全）
2. 配置Admin API的参数
   在appsettings.json里加这些配置：

   "AzureAdB2C": {
     "Instance": "https://your-b2c-tenant.b2clogin.com/",
     "TenantId": "你的租户ID",
     "ClientId": "Admin API的B2C应用ID",
     "ClientSecret": "Admin API的客户端密钥",
     "Scope": "https://your-b2c-tenant.onmicrosoft.com/healthcare-api/.default",
     "Policy": "B2C_1A_signup_signin" // 替换成你的B2C用户流/自定义策略
   }
   

3. 引入官方库简化令牌获取
   用Microsoft.Identity.Web这个官方库，在Program.cs里注册服务：

   builder.Services.AddHttpClient();
   builder.Services.AddMicrosoftIdentityWebApiAuthentication(builder.Configuration)
                   .AddInMemoryTokenCaches()
                   .AddClientCredentialsFlow(options => 
                       builder.Configuration.Bind("AzureAdB2C", options));
   

4. 在业务逻辑里获取并使用令牌
   在需要调用Healthcare API的控制器或服务中，注入ITokenAcquisition和IHttpClientFactory，然后写调用逻辑：

   private readonly IHttpClientFactory _httpClientFactory;
   private readonly ITokenAcquisition _tokenAcquisition;
   
   public YourAdminController(IHttpClientFactory httpClientFactory, ITokenAcquisition tokenAcquisition)
   {
       _httpClientFactory = httpClientFactory;
       _tokenAcquisition = tokenAcquisition;
   }
   
   [HttpGet("call-healthcare-api")]
   public async Task<IActionResult> CallHealthcareApi()
   {
       // 获取Healthcare API的授权令牌
       var accessToken = await _tokenAcquisition.GetAccessTokenForAppAsync(
           "https://your-b2c-tenant.onmicrosoft.com/healthcare-api/.default");
       
       // 发起请求
       var client = _httpClientFactory.CreateClient();
       client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("Bearer", accessToken);
       var response = await client.GetAsync("https://你的Healthcare Function API地址/api/目标端点");
       
       // 处理响应（示例）
       if (response.IsSuccessStatusCode)
       {
           var content = await response.Content.ReadAsStringAsync();
           return Ok(content);
       }
       return BadRequest("调用Healthcare API失败");
   }
   

不使用gRPC的其他替代方案 #

除了上面的客户端凭据流，还有几个适合你场景的方案：

• Azure API 管理（APIM）：把两个API都接入APIM，通过APIM的策略来处理授权逻辑。Admin API的请求经过APIM时，APIM会自动帮你获取Healthcare API的令牌，这样Admin API里完全不用写令牌相关代码，还能统一管理API的路由、限流等。
• 托管标识（Managed Identity）：如果你的Healthcare API是Azure Function，可以给它启用系统托管标识，然后给Admin API的托管标识授予访问这个Function的权限。Admin API通过托管标识获取令牌，这种方式不用维护客户端密钥，安全性更高。
• 自定义API密钥（应急临时用）：在Healthcare Function里加一个自定义的API密钥验证逻辑，比如检查请求头里的X-API-Key是否匹配预设值。但这种方式安全性不如OAuth2令牌，只适合临时应急，不推荐长期用。

几个要注意的点 #

• 客户端凭据流里的Scope必须是{你的Healthcare API的标识符}/.default这个格式，这是Azure B2C服务间调用的固定写法
• 尽量用证书代替客户端密钥，减少密钥泄露的风险
• Microsoft.Identity.Web已经内置了令牌缓存，不用自己实现，避免频繁向B2C请求令牌

内容的提问来源于stack exchange，提问作者Ayesh Nipun