能否在ASP.NET Core中间件中使用HttpClient调用OAuth验证服务？

嘿，作为刚接触C#和ASP.NET Core的开发者，你选的方向特别对——用中间件来全局拦截请求并对接自研OAuth服务做权限验证，这是ASP.NET Core生态里处理这类需求的标准思路之一，完全没问题。

我给你梳理下具体的实现思路和注意事项，帮你把想法落地：

• 创建自定义中间件
  中间件的核心是InvokeAsync方法，你可以在这里拿到每个进来的请求，取出请求头里的认证凭证（比如Bearer Token），然后调用公司的OAuth服务做验证。举个简单的示例代码：

  public class OAuthValidationMiddleware
  {
      private readonly RequestDelegate _next;
      private readonly HttpClient _oauthHttpClient;
  
      // 建议用HttpClientFactory注入HttpClient，避免手动创建导致的资源泄漏
      public OAuthValidationMiddleware(RequestDelegate next, IHttpClientFactory httpClientFactory)
      {
          _next = next;
          _oauthHttpClient = httpClientFactory.CreateClient("OAuthService");
      }
  
      public async Task InvokeAsync(HttpContext context)
      {
          // 从请求头获取Token
          if (!context.Request.Headers.TryGetValue("Authorization", out var authHeader))
          {
              context.Response.StatusCode = StatusCodes.Status401Unauthorized;
              await context.Response.WriteAsync("Missing authorization header");
              return;
          }
  
          var token = authHeader.ToString().Replace("Bearer ", string.Empty);
          try
          {
              // 调用自研OAuth服务的验证接口
              var validationResponse = await _oauthHttpClient.PostAsJsonAsync("/api/validate-token", new { Token = token });
              if (!validationResponse.IsSuccessStatusCode)
              {
                  context.Response.StatusCode = StatusCodes.Status401Unauthorized;
                  await context.Response.WriteAsync("Invalid or expired token");
                  return;
              }
  
              // 如果验证通过，把用户信息存入HttpContext，后续接口可以直接取用
              var userInfo = await validationResponse.Content.ReadFromJsonAsync<UserInfo>();
              context.Items["CurrentUser"] = userInfo;
  
              // 放行请求到下一个中间件/接口
              await _next(context);
          }
          catch (Exception ex)
          {
              // 处理OAuth服务不可用的情况，比如返回503
              context.Response.StatusCode = StatusCodes.Status503ServiceUnavailable;
              await context.Response.WriteAsync("Authentication service unavailable");
          }
      }
  }
  
  // 扩展方法，方便注册中间件
  public static class OAuthValidationMiddlewareExtensions
  {
      public static IApplicationBuilder UseOAuthValidation(this IApplicationBuilder builder)
      {
          return builder.UseMiddleware<OAuthValidationMiddleware>();
      }
  }
  

• 注册中间件和HttpClient
  在Program.cs里，记得先注册HttpClient，再把你的中间件加到请求管道里（要放在UseRouting之后，UseEndpoints之前，确保拦截所有请求）：

  var builder = WebApplication.CreateBuilder(args);
  
  // 注册HttpClient，配置OAuth服务的基础地址
  builder.Services.AddHttpClient("OAuthService", client =>
  {
      client.BaseAddress = new Uri(builder.Configuration["OAuthService:BaseUrl"]);
  });
  
  // 注册中间件
  var app = builder.Build();
  app.UseRouting();
  app.UseOAuthValidation(); // 放在这里确保拦截所有路由请求
  app.UseEndpoints(endpoints =>
  {
      endpoints.MapControllers();
  });
  app.Run();
  

• 一些新手容易踩的坑

  • 不要手动new HttpClient，一定要用IHttpClientFactory，不然会导致Socket资源泄漏
  • 验证逻辑要异步处理，别用同步阻塞的方法（比如.Result），避免拖垮API性能
  • 考虑加缓存：如果同一个Token短时间内多次请求，没必要每次都调用OAuth服务，可以把验证结果缓存几分钟，减轻服务压力
  • 错误处理要全面：比如OAuth服务挂了、网络超时的情况，要返回合适的状态码，别让请求卡死

如果你已经做了一些尝试但遇到了问题，比如Token解析错误、中间件不生效之类的，可以把你的代码片段贴出来，大家帮你排查！

内容的提问来源于stack exchange，提问作者FernanJC