每24小时调度运行的WebJob如何处理过期ManagedIdentity令牌？

报错的核心原因是当前实现中，Managed Identity访问令牌在EF Core数据库连接首次初始化时被一次性获取后长期缓存，没有配套自动刷新逻辑。默认24小时令牌有效期到期后，连接持有的过期令牌无法通过数据库鉴权，就会抛出认证失败异常中断作业。

方案1：使用SqlClient原生令牌回调（最稳定，优先选择） #

Microsoft.Data.SqlClient 3.0及以上版本原生支持访问令牌回调配置，配合Azure.Identity库的DefaultAzureCredential（内置Managed Identity支持和令牌自动缓存能力），不需要手动写定时刷新逻辑，就能实现令牌到期前自动续期。
操作步骤：

• 确保项目安装依赖包：Azure.Identity、Microsoft.Data.SqlClient（版本≥3.0）、Microsoft.EntityFrameworkCore.SqlServer
• 移除原有手动获取Managed Identity令牌、手动给连接赋值AccessToken的代码
• 在EF Core注册时按如下方式配置连接：

services.AddDbContext<YourDbContext>((sp, options) =>
{
    var dbConnStr = builder.Configuration.GetConnectionString("YourDbConnectionKey");
    var sqlConn = new SqlConnection(dbConnStr)
    {
        // 配置令牌获取回调，SqlClient会自动在令牌过期前调用该方法拿新令牌
        AccessTokenCallback = async (_, ct) =>
        {
            var credential = new DefaultAzureCredential();
            // Azure SQL对应的令牌请求范围固定为该值，其他数据库替换为对应资源标识即可
            var tokenRes = await credential.GetTokenAsync(
                new TokenRequestContext(new[] { "https://database.windows.net/.default" }), 
                ct);
            return tokenRes.Token;
        },
        // 配置提前30分钟刷新令牌，避免临界过期导致的请求失败
        AccessTokenCallbackCacheTime = TimeSpan.FromMinutes(30)
    };
    options.UseSqlServer(sqlConn);
});

这个方案是官方推荐的Managed Identity数据库鉴权实现，令牌缓存、刷新逻辑全由官方库托管，不需要自己处理边界情况，稳定性最高。

方案2：EF Core连接拦截器（适配老版本SqlClient） #

如果项目用的SqlClient版本低于3.0，不支持AccessTokenCallback，可以通过EF Core的数据库连接拦截器，在每次连接打开前校验令牌有效期，按需刷新令牌：

1. 自定义拦截器实现：

public class MiTokenRefreshInterceptor : DbConnectionInterceptor
{
    private readonly DefaultAzureCredential _miCredential = new();
    private readonly string[] _dbTokenScopes = { "https://database.windows.net/.default" };
    private AccessToken _cachedToken;

    public override async ValueTask<InterceptionResult> ConnectionOpeningAsync(
        DbConnection connection, 
        ConnectionEventData eventData, 
        InterceptionResult result,
        CancellationToken ct = default)
    {
        // 令牌不存在或剩余有效期不足1小时时，主动拉取新令牌
        if (_cachedToken.Token == null || _cachedToken.ExpiresOnOffset < TimeSpan.FromHours(1))
        {
            _cachedToken = await _miCredential.GetTokenAsync(new TokenRequestContext(_dbTokenScopes), ct);
        }
        if (connection is SqlConnection sqlConn)
        {
            sqlConn.AccessToken = _cachedToken.Token;
        }
        return result;
    }

    // 同步执行路径需要同步实现相同逻辑
    public override InterceptionResult ConnectionOpening(
        DbConnection connection, 
        ConnectionEventData eventData, 
        InterceptionResult result)
    {
        if (_cachedToken.Token == null || _cachedToken.ExpiresOnOffset < TimeSpan.FromHours(1))
        {
            _cachedToken = _miCredential.GetToken(new TokenRequestContext(_dbTokenScopes));
        }
        if (connection is SqlConnection sqlConn)
        {
            sqlConn.AccessToken = _cachedToken.Token;
        }
        return result;
    }
}

2. 注册拦截器到EF Core管道：

options.UseSqlServer(你的数据库连接字符串)
       .AddInterceptors(new MiTokenRefreshInterceptor());

这个方案不需要依赖新版本SqlClient，逻辑轻量，每次打开连接前才做令牌校验，完全适配24小时调度一次的WebJob场景，没有额外的常驻后台开销。

• 不要把DbContext、SqlConnection注册为单例生命周期，按EF Core推荐的Scoped生命周期注册即可，每次WebJob执行时新建服务Scope获取DbContext实例，避免连接长期持有带来的资源泄漏和令牌缓存异常。
• 不要自己实现静态令牌+后台定时任务刷新的逻辑，WebJob可能出现实例回收、重启、异常退出，后台定时器容易失效，上述两种按需校验+官方库托管缓存的方案鲁棒性更高。
• 如果使用的是Azure Database for PostgreSQL/MySQL等其他Azure托管数据库，只需要把令牌请求的scope替换为对应数据库的资源标识，配合对应数据库驱动的令牌赋值接口即可，核心逻辑一致。

内容的提问来源于stack exchange，提问作者santosh kumar patro