使用DI的客户端调用无DI的ASP.NET WebApi出现401未授权错误

问题场景 #

• 本地运行两套独立应用：
  • 客户端应用：负责消费WebApi的REST接口响应
  • 后端ASP.NET WebApi应用：提供员工数据查询接口，自身未引入任何DI组件
• 异常触发条件：
  • 客户端未配置DI逻辑时，调用接口完全正常
  • 客户端接入DI逻辑后，调用http://localhost:7820/地址下的WebApi接口，直接返回401 Unauthorized

客户端原有可正常运行的实现代码 #

public class Employee : IEmployee
{
    string Baseurl = "http://localhost:7820/";

    public async Task<IEnumerable<employee>> GetAll(string accessToken)
    {
        List<employee> employee_ = new List<employee>();
        try
        {
            using (var client = new HttpClient())
            {
                // 配置服务基地址
                client.BaseAddress = new Uri(Baseurl);
                client.DefaultRequestHeaders.Clear();
                // 定义请求数据格式
                client.DefaultRequestHeaders.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json"));
                client.DefaultRequestHeaders.Authorization = new AuthenticationHeaderValue("access_token", "Bearer " + accessToken);

                // 发送请求获取员工全量数据
                HttpResponseMessage Res = await client.GetAsync("api/Employee/Get");

                // 校验响应状态
                if (Res.IsSuccessStatusCode)
                {
                    // 读取响应内容
                    var EmpResponse = await Res.Content.ReadAsStringAsync();
                    // 反序列化为员工列表
                    employee_ = JsonConvert.DeserializeObject<List<employee>>(EmpResponse);
                }
                return employee_;
            }
        }
        catch (Exception er)
        {
            return employee_;
        }
    }
}

WebApi 服务端接口实现代码 #

public IHttpActionResult Get()
{
    try
    {
        using (employeesmgmtEntities entities = new employeesmgmtEntities())
        {
            List<employee> list = (
            from a in new employeesmgmtEntities().employees
            select new
            {
              emplId = a.emplId,
              empName = a.empName,
              age = a.age,
              fullAddress = a.fullAddress,
              city = a.city,
              pinCode = a.pinCode,
              mobileNo = a.mobileNo,
              emailId = a.emailId,
              bankName=a.bankName,
              accountNo = a.accountNo,
              ifscCode = a.ifscCode,
              salary = a.salary
            }).AsEnumerable().Select(o => new employee
            {
              emplId = o.emplId,
              empName = o.empName,
              age = o.age,
              fullAddress = o.fullAddress,
              city = o.city,
              pinCode = o.pinCode,
              mobileNo = o.mobileNo,
              emailId = o.emailId,
              bankName = o.bankName,
              accountNo = o.accountNo,
              ifscCode = o.ifscCode,
              salary = o.salary
            }).ToList();
            
            if (list != null) 
            { 
                return Ok(list); 
            }
            else 
            { 
                return NotFound(); 
            }
        }
    }
    catch (Exception ex)
    { 
        return BadRequest(ex.ToString()); 
    }
}

引入DI后的异常返回详情 #

{StatusCode: 401, ReasonPhrase: 'Unauthorized', Version: 1.1, 
    Content: System.Net.Http.StreamContent, Headers:
{
  Pragma: no-cache
  X-SourceFiles: =?UTF-8?B?UzpcU09GVFdBUkVTLVBST0ZFU1NJT05BTFxFU1NFTkNFXFNJVEVTX1VOREVSLUNPTlNUUlVDVElPTlxTQVVSQUJIXGVtcGxveWVlc01nbXRBcGlcZW1wbG95ZWVzTWdtdEFwaVxhcGlcRW1wbG95ZWVcR2V0?=
  Cache-Control: no-cache
  Date: Sun, 10 Jan 2021 13:29:06 GMT
  Server: Microsoft-IIS/10.0
  WWW-Authenticate: Bearer
  X-AspNet-Version: 4.0.30319
  X-Powered-By: ASP.NET
  Content-Length: 71
  Content-Type: application/json; charset=utf-8
  Expires: -1
}}

排障步骤与解决方案 #

• 核对DI容器内的HttpClient注册逻辑
  • 这类场景的高频问题根源是：DI注册HttpClient时，默认配置的请求头覆盖了自定义的授权头。常见错误包括：注册时未配置正确的BaseAddress、全局请求头中遗漏了认证信息、多个业务模块的请求头互相污染。
• 修正原有代码中不规范的认证头构造逻辑
  • 原代码存在隐蔽的格式bug：new AuthenticationHeaderValue("access_token", "Bearer " + accessToken)的写法完全不符合HTTP标准——这个构造方法的第一个参数是认证方案名，第二个参数是认证凭证。原来的写法会生成名为access_token的请求头，而非标准的Authorization: Bearer {token}头。未引入DI时能正常运行，是因为本地IIS Express对接口的认证规则较宽松、绕过了校验；引入DI后通常会配套启用HttpClientFactory的严格请求校验逻辑，格式不匹配的请求会直接被拦截返回401。
  • 修正后的认证头写法：new AuthenticationHeaderValue("Bearer", accessToken)，去掉多余的Bearer字符串拼接。
• 校验DI链路中的token传递有效性
  • 客户端接入DI后，Employee类通常会被注册为瞬时或作用域服务，需确认依赖链路中传递的accessToken参数没有出现null值、过期值或无效值，这类无效凭证会被WebApi端的Bearer认证中间件直接拦截返回401。
• 规范HttpClient的DI注册方式
  • 避免将HttpClient注册为单例后复用全局请求头，防止多业务场景下的请求头互相覆盖。推荐使用IHttpClientFactory的命名客户端注册方式，为WebApi调用单独配置对应的请求头规则。

内容的提问来源于stack exchange，提问作者Harry