关于用Azure API Management保护登录跳转Azure Function的技术咨询

完全可以通过API Management（APIM）来保护你的Azure Function，针对你遇到的「重定向丢失订阅密钥导致无法访问」的问题，我给你梳理几个实用的解决思路：

一、先完成APIM的基础配置 #

首先得把你的Azure Function接入APIM：

• 在APIM实例中创建新的API，可以直接导入Azure Function（APIM支持一键导入Function的触发器），或者手动创建API并设置后端地址为你的Function URL。
• 确保APIM的API启用了订阅密钥验证（这是APIM的默认配置，但可以在API的「设置」里确认下），这样只有携带有效订阅密钥的请求才能通过APIM访问后端Function。

二、解决重定向时的订阅密钥传递问题 #

核心矛盾是：客户端直接跳转到Function原始URL时，不会携带APIM要求的Ocp-Apim-Subscription-Key请求头，导致被APIM拦截。这里有两种解决方式：

方案1：修改Function的重定向目标为APIM端点 #

既然所有访问都要经过APIM，那直接让Function返回的重定向地址指向APIM对应的API端点，而不是Function自己的URL。
比如：

• 原本Function重定向到 https://myfunction.azurewebsites.net/api/login-callback
• 现在改成重定向到 https://myapim.azure-api.net/login/api/login-callback（替换成你的APIM域名和对应API路径）

这样客户端跳转时访问的是APIM，只要初始请求携带了订阅密钥，后续跳转的请求（如果是同域或符合浏览器同源策略的话）可以保持头信息；如果是浏览器场景，订阅密钥不太适合直接在前端暴露，后续可以考虑换成Azure AD身份验证更安全。

方案2：用APIM出站策略自动替换重定向URL #

如果你不想修改Function的代码，可以在APIM中配置出站策略，自动把Function返回的重定向地址替换成APIM的端点：

1. 进入APIM中对应API的「设计」页面
2. 在「出站处理」阶段添加以下策略代码：

<choose>
    <when condition="@(context.Response.StatusCode == 301 || context.Response.StatusCode == 302)">
        <set-header name="Location" exists-action="override">
            <value>@(context.Response.Headers.GetValueOrDefault("Location","").Replace("https://myfunction.azurewebsites.net/api/", "https://myapim.azure-api.net/login/api/"))</value>
        </set-header>
    </when>
</choose>

• 把代码中的https://myfunction.azurewebsites.net/api/替换成你的Function基础路径，https://myapim.azure-api.net/login/api/替换成APIM中对应API的基础路径。
• 这样Function返回的301/302重定向响应会被APIM自动修改Location头，客户端跳转时就会访问APIM端点，自然能通过订阅密钥验证。

三、额外优化建议 #

如果你的登录跳转涉及外部身份提供商（比如Azure AD登录页），记得把登录成功后的回调URL也设置为APIM的端点，而不是Function的原始URL，这样登录完成后的回调请求会先经过APIM验证，再转发到Function。

另外，订阅密钥更适合服务端之间的调用，如果你的场景是浏览器端访问，建议后续考虑在APIM中配置Azure AD身份验证，用令牌或Cookie来做验证，这样更安全也更适配浏览器跳转的场景。

内容的提问来源于stack exchange，提问作者David Parsonson