C#实战：如何安全高效地获取OAuth2.0 Token（附避坑指南）

1次阅读

共计 3693 个字符，预计需要花费 10 分钟才能阅读完成。

OAuth2.0 已成为现代应用身份验证的黄金标准，从单页应用到微服务架构，它解决了安全授权和资源访问的核心问题。但在实际开发中，很多 C# 开发者仍在使用原始的 HttpClient 直接请求 Token，这可能导致连接泄漏、DNS 不更新等问题。本文将带你用 HttpClientFactory 实现更可靠的解决方案。

直接使用 HttpClient 时，每次实例化都会创建新的 TCP 连接，频繁开关连接会导致端口耗尽（著名的『端口耗尽问题』）。更棘手的是，默认的 HttpClient 不会遵循 DNS 记录的 TTL，可能导致访问失效的 IP 地址。

HttpClientFactory 通过以下机制解决这些问题：

内置连接池管理，重用 HTTP 连接
自动处理 DNS 刷新
提供命名客户端和类型化客户端两种模式
与 Polly 等库无缝集成实现重试策略

PKCE（Proof Key for Code Exchange）是应对授权码拦截攻击的重要扩展，特别适用于移动端和 SPA 应用。以下是关键步骤：

生成 code_verifier 和 code_challenge

using System.Security.Cryptography;
using System.Text;

// 生成随机的 code_verifier
var rng = RandomNumberGenerator.Create();
var bytes = new byte[32];
rng.GetBytes(bytes);
var codeVerifier = Convert.ToBase64String(bytes)
    .TrimEnd('=')
    .Replace('+', '-')
    .Replace('/', '_');

// 计算 SHA256 哈希作为 code_challenge
using var sha256 = SHA256.Create();
var challengeBytes = sha256.ComputeHash(Encoding.UTF8.GetBytes(codeVerifier));
var codeChallenge = Convert.ToBase64String(challengeBytes)
    .TrimEnd('=')
    .Replace('+', '-')
    .Replace('/', '_');

构建授权请求 URL（注意将 client_id 和 redirect_uri 进行 URL 编码）：

var authorizationRequest = $"{authority}/connect/authorize?" +
    $"client_id={Uri.EscapeDataString(clientId)}&" +
    $"redirect_uri={Uri.EscapeDataString(redirectUri)}&" +
    $"response_type=code&" +
    $"scope={Uri.EscapeDataString(scope)}&" +
    $"code_challenge={codeChallenge}&" +
    $"code_challenge_method=S256&" +
    $"state={Guid.NewGuid()}"; // 防 CSRF

用授权码交换 Token：

// 使用类型化 HttpClient
public class AuthService
{
    private readonly HttpClient _httpClient;

    public AuthService(HttpClient httpClient) 
    {_httpClient = httpClient;}

    public async Task<TokenResponse> ExchangeCodeAsync(string code, string codeVerifier)
    {var request = new HttpRequestMessage(HttpMethod.Post, "connect/token");
        var formData = new Dictionary<string, string>
        {["grant_type"] = "authorization_code",
            ["code"] = code,
            ["redirect_uri"] = redirectUri,
            ["client_id"] = clientId,
            ["code_verifier"] = codeVerifier
        };
        request.Content = new FormUrlEncodedContent(formData);

        var response = await _httpClient.SendAsync(request);
        response.EnsureSuccessStatusCode();

        return await response.Content.ReadFromJsonAsync<TokenResponse>();}
}

对于服务间认证，客户端凭证模式更简单直接：

public async Task<TokenResponse> GetClientCredentialsTokenAsync()
{var request = new HttpRequestMessage(HttpMethod.Post, "connect/token");
    var formData = new Dictionary<string, string>
    {["grant_type"] = "client_credentials",
        ["client_id"] = clientId,
        ["client_secret"] = clientSecret,
        ["scope"] = scope
    };

    request.Content = new FormUrlEncodedContent(formData);

    // 建议在生产环境添加 Client 证书等额外认证
    var response = await _httpClient.SendAsync(request);
    response.EnsureSuccessStatusCode();

    return await response.Content.ReadFromJsonAsync<TokenResponse>();}

使用 MemoryCache 实现 Token 自动刷新，避免频繁请求新 Token：

public class TokenService
{
    private readonly IMemoryCache _cache;
    private readonly AuthService _authService;

    public TokenService(IMemoryCache cache, AuthService authService)
    {
        _cache = cache;
        _authService = authService;
    }

    public async Task<string> GetAccessTokenAsync()
    {
        // 尝试从缓存获取
        if (_cache.TryGetValue("access_token", out string accessToken))
            return accessToken;

        // 获取新 Token 并设置缓存过期（提前 5 分钟刷新）var tokenResponse = await _authService.GetClientCredentialsTokenAsync();
        var cacheOptions = new MemoryCacheEntryOptions()
            .SetAbsoluteExpiration(TimeSpan.FromSeconds(tokenResponse.ExpiresIn - 300));

        _cache.Set("access_token", tokenResponse.AccessToken, cacheOptions);

        return tokenResponse.AccessToken;
    }
}

Strict-Transport-Security (HSTS)
Content-Security-Policy
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Referrer-Policy: strict-origin-when-cross-origin