如何在.NET（C#/VB.NET）中调用带OAuth 2.0的外部Web API

你遇到的场景本质是需要模拟用户通过OAuth授权页登录的完整流程，从而获取后续调用API所需的Cookie。下面分两种常用方案实现：

方案一：用HttpClient模拟登录流程（轻量，适合无JS渲染的登录页） #

这种方式直接构造HTTP请求模拟浏览器行为，无需浏览器组件，适合后台服务场景。

步骤1：先抓包分析登录流程 #

用Fiddler或Chrome开发者工具抓包，确认以下关键信息：

• OAuth授权页的访问URL
• 登录请求的方法（通常是POST）、表单参数（比如username、password、__RequestVerificationToken这类防CSRF的参数）
• 登录成功后返回的核心Cookie（比如ASP.NET_SessionId、oauth_token等）

步骤2：C#代码实现 #

using System.Net;
using System.Net.Http.Headers;
using System.Text;

public class OAuthCookieClient
{
    private readonly HttpClient _httpClient;
    private CookieContainer _cookieContainer;

    public OAuthCookieClient()
    {
        _cookieContainer = new CookieContainer();
        var handler = new HttpClientHandler
        {
            CookieContainer = _cookieContainer,
            UseCookies = true,
            AllowAutoRedirect = true // 自动处理登录后的跳转
        };
        _httpClient = new HttpClient(handler);
        // 设置请求头模拟普通浏览器
        _httpClient.DefaultRequestHeaders.UserAgent.ParseAdd("Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/118.0.0.0 Safari/537.36");
    }

    // 模拟登录获取Cookie
    public async Task<bool> LoginAsync(string authPageUrl, string loginPostUrl, string username, string password)
    {
        // 第一步：请求授权页，获取CSRF令牌等必要参数
        var authPageResponse = await _httpClient.GetAsync(authPageUrl);
        if (!authPageResponse.IsSuccessStatusCode)
            return false;

        var authPageHtml = await authPageResponse.Content.ReadAsStringAsync();
        var csrfToken = ExtractCsrfToken(authPageHtml);
        if (string.IsNullOrEmpty(csrfToken))
            return false;

        // 第二步：构造登录表单数据
        var formData = new Dictionary<string, string>
        {
            ["username"] = username,
            ["password"] = password,
            ["__RequestVerificationToken"] = csrfToken,
            ["submit"] = "Login" // 根据实际表单的提交按钮参数调整
        };

        var content = new FormUrlEncodedContent(formData);
        var loginResponse = await _httpClient.PostAsync(loginPostUrl, content);

        // 检查是否登录成功：判断Cookie中是否存在目标会话令牌
        var cookies = _cookieContainer.GetCookies(new Uri(loginPostUrl));
        return cookies.Any(c => c.Name.Equals("oauth_session", StringComparison.OrdinalIgnoreCase));
    }

    // 调用目标API（自动携带已获取的Cookie）
    public async Task<string> CallApiAsync(string apiUrl)
    {
        var response = await _httpClient.GetAsync(apiUrl);
        response.EnsureSuccessStatusCode();
        return await response.Content.ReadAsStringAsync();
    }

    // 辅助方法：从HTML中提取CSRF令牌（复杂页面建议用HtmlAgilityPack解析）
    private string ExtractCsrfToken(string html)
    {
        var tokenStart = html.IndexOf("<input name=\"__RequestVerificationToken\" type=\"hidden\" value=\"") + "<input name=\"__RequestVerificationToken\" type=\"hidden\" value=\"".Length;
        var tokenEnd = html.IndexOf("\"", tokenStart);
        return tokenStart > 0 && tokenEnd > tokenStart ? html.Substring(tokenStart, tokenEnd - tokenStart) : null;
    }
}

// 使用示例
// var client = new OAuthCookieClient();
// await client.LoginAsync("https://example.com/oauth/auth", "https://example.com/oauth/login", "your-username", "your-password");
// var apiData = await client.CallApiAsync("https://example.com/api/data");

注意：如果登录页有JS动态生成的参数（比如动态令牌、设备指纹），纯HTTP模拟会失效，需要用方案二。

方案二：用Playwright模拟浏览器登录（适合需JS渲染的复杂场景） #

这种方式真实模拟浏览器行为，能处理JS动态生成的内容，适配复杂登录页。

步骤1：安装依赖包 #

Install-Package Microsoft.Playwright
# 初始化浏览器驱动
playwright install

步骤2：C#代码实现 #

using Microsoft.Playwright;
using System.Net;
using System.Net.Http.Headers;

public class BrowserOAuthClient
{
    public async Task<string> GetApiDataAsync(string authPageUrl, string apiUrl, string username, string password)
    {
        using var playwright = await Playwright.CreateAsync();
        await using var browser = await playwright.Chromium.LaunchAsync(new BrowserTypeLaunchOptions { Headless = true }); // 无头模式，不显示浏览器窗口
        var page = await browser.NewPageAsync();

        // 1. 导航到OAuth授权页
        await page.GotoAsync(authPageUrl);

        // 2. 填写登录表单（根据实际页面的元素选择器调整）
        await page.FillAsync("#username-input", username);
        await page.FillAsync("#password-input", password);
        await page.ClickAsync("#login-submit-btn");

        // 3. 等待登录完成（比如等待跳转至授权成功页）
        await page.WaitForNavigationAsync(new PageWaitForNavigationOptions { Url = "https://example.com/oauth/success" });

        // 4. 获取当前会话的所有Cookie
        var cookies = await page.Context.CookiesAsync();

        // 5. 用HttpClient携带Cookie调用API
        var cookieContainer = new CookieContainer();
        foreach (var cookie in cookies)
        {
            cookieContainer.Add(new Cookie(cookie.Name, cookie.Value, cookie.Path, cookie.Domain));
        }

        var handler = new HttpClientHandler { CookieContainer = cookieContainer };
        using var httpClient = new HttpClient(handler);
        var response = await httpClient.GetAsync(apiUrl);
        response.EnsureSuccessStatusCode();
        return await response.Content.ReadAsStringAsync();
    }
}

// 使用示例
// var client = new BrowserOAuthClient();
// var data = await client.GetApiDataAsync("https://example.com/oauth/auth", "https://example.com/api/data", "your-username", "your-password");

关键注意事项 #

• Cookie有效期：Cookie通常有过期时间，需实现刷新逻辑（比如定期重新登录，或监听Cookie过期状态）
• 反爬机制：如果对方有验证码、设备指纹验证，可能需要额外处理（比如接入验证码识别服务，或固定浏览器指纹）
• 合规性：确保你的集成行为符合对方API的服务条款，避免违规调用

内容的提问来源于stack exchange，提问作者altaaf.hussein