C#实战：如何安全高效地获取OAuth2.0 Token（附避坑指南）

1次阅读

共计 2524 个字符，预计需要花费 7 分钟才能阅读完成。

OAuth2.0 已经成为现代应用身份验证和授权的标准协议，它让用户无需直接共享密码就能安全地授权第三方应用访问资源。无论是集成社交媒体登录还是企业级 API 调用，OAuth2.0 都提供了标准化的解决方案。

直接使用 HttpClient 看似简单，但长期运行会导致套接字耗尽和 DNS 刷新问题：

连接池管理 ：HttpClientFactory 自动管理 HttpMessageHandler 的生命周期，复用 TCP 连接
DNS 刷新 ：默认 HttpClient 会永久缓存 DNS 记录，而工厂模式支持定期刷新
弹性策略 ：内置重试和超时策略，适合不稳定的认证服务器场景

PKCE（Proof Key for Code Exchange）能有效防范授权码拦截攻击，以下是核心代码：

// 生成 code_verifier 和 code_challenge
var codeVerifier = RandomNumberGenerator.GetBytes(32);
var codeChallenge = Base64Url.Encode(SHA256.HashData(codeVerifier));

// 构建授权请求 URL
var authorizationRequest = $"{authEndpoint}?response_type=code&
    client_id={Uri.EscapeDataString(clientId)}&
    redirect_uri={Uri.EscapeDataString(redirectUri)}&
    code_challenge={codeChallenge}&
    code_challenge_method=S256&
    scope={Uri.EscapeDataString(scope)}";

// 获取 token 的 POST 请求
using var httpClient = _httpClientFactory.CreateClient();
var tokenResponse = await httpClient.PostAsync(tokenEndpoint, new FormUrlEncodedContent(new Dictionary<string, string>
{["grant_type"] = "authorization_code",
    ["code"] = authorizationCode,
    ["redirect_uri"] = redirectUri,
    ["client_id"] = clientId,
    ["code_verifier"] = Encoding.UTF8.GetString(codeVerifier)
}));

适用于服务间通信，无需用户交互：

var credentials = Convert.ToBase64String(Encoding.UTF8.GetBytes($"{clientId}:{clientSecret}"));

using var request = new HttpRequestMessage(HttpMethod.Post, tokenEndpoint);
request.Headers.Authorization = new AuthenticationHeaderValue("Basic", credentials);
request.Content = new FormUrlEncodedContent(new Dictionary<string, string>
{["grant_type"] = "client_credentials",
    ["scope"] = scope
});

var response = await _httpClientFactory.CreateClient().SendAsync(request);

利用 MemoryCache 避免频繁请求新 Token：

public async Task<string> GetAccessTokenAsync()
{if (_memoryCache.TryGetValue("OAuthToken", out string cachedToken))
        return cachedToken;

    var newToken = await FetchNewTokenAsync();
    var cacheOptions = new MemoryCacheEntryOptions
    {AbsoluteExpirationRelativeToNow = TimeSpan.FromSeconds(newToken.ExpiresIn - 30) // 提前 30 秒过期
    };

    _memoryCache.Set("OAuthToken", newToken.AccessToken, cacheOptions);
    return newToken.AccessToken;
}

Strict-Transport-Security: max-age=63072000; includeSubDomains; preload
X-Content-Type-Options: nosniff
Content-Security-Policy: default-src 'self'