.NET API中HttpRequestMessage无法设置Authorization Header问题排查

可能的原因及对应方案 #

1. HttpClient自动重定向导致头丢失 #

每次用new HttpClient()创建实例时，默认会使用允许自动重定向的HttpClientHandler。如果第三方验证端点返回3xx重定向响应，HttpClient会自动跟随重定向，但不会将Authorization头携带到新的请求地址（尤其是跨域重定向场景）。而Postman默认可能不自动跟随重定向，或者处理逻辑不同，因此能正常验证。

解决方法：

• 复用HttpClient实例（HttpClient是线程安全的，推荐单例注入，避免频繁创建）；
• 禁用自动重定向，手动处理重定向逻辑：

// 禁用自动重定向的HttpClientHandler
var handler = new HttpClientHandler { AllowAutoRedirect = false };
using var httpClient = new HttpClient(handler);

var request = new HttpRequestMessage(HttpMethod.Get, _config["ThirdParty:URI"] + "/api/security/token");
request.Headers.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));
request.Headers.Authorization = new AuthenticationHeaderValue("Bearer", token);

var response = await httpClient.SendAsync(request);
// 如需处理重定向，手动检查状态码并重新发送请求，重新添加Authorization头
if (response.StatusCode is HttpStatusCode.MovedPermanently or HttpStatusCode.Found)
{
    var newRequest = new HttpRequestMessage(HttpMethod.Get, response.Headers.Location);
    newRequest.Headers.Authorization = request.Headers.Authorization;
    response = await httpClient.SendAsync(newRequest);
}

response.EnsureSuccessStatusCode();
var isValidResponse = response.DeserializeResponseBody<IsValidTokenResponse>();
return isValidResponse.IsValid;

2. 全局消息处理器修改请求头 #

如果项目中注册了自定义的DelegatingHandler（比如日志拦截、请求篡改组件），可能会在请求发送前无意中移除或修改Authorization头。

解决方法：
排查项目中所有全局注册的消息处理器，检查其逻辑是否会对Authorization头进行操作，确保不会删除或覆盖该头。

3. 请求头设置的隐式问题 #

虽然断点看到request对象已设置Authorization头，但某些场景下HttpRequestMessage的头可能被后续逻辑修改。比如用Add方法设置Authorization头时，若头已存在会抛出异常；若有其他代码在SendAsync前修改请求，也可能导致头丢失。

解决方法：

• 优先使用request.Headers.Authorization属性设置，而非直接调用Add方法（属性设置会自动覆盖原有值，避免重复添加的问题）；
• 在SendAsync前添加日志，输出请求头的完整内容，确认头确实存在。

调试建议 #

• 用抓包工具（如Fiddler、WireShark）捕获实际发送到第三方的请求，查看请求头中是否包含Authorization字段，这是最直接的定位方式；
• 对比Postman发送的请求和代码发送的请求的所有细节（请求方法、URL、头信息、编码等），找出差异点。

内容的提问来源于stack exchange，提问作者BryceBy