如何通过ASP.NET Core防止带哈希的JS文件在Wget请求中暴露？

一、核心前提说明 #

Angular编译生成的带哈希的JS文件（如external-module.d1aa0dsdp55.js）是前端应用运行的依赖文件，完全禁止客户端请求会导致前端直接崩溃。你的需求应该聚焦在：

1. 拦截非法的直接请求（比如通过Wget手动爬取）
2. 避免这些文件的请求记录出现在日志中（仅允许合法前端页面发起的请求）

二、方案1：用ASP.NET Core中间件限制请求来源 #

实现逻辑 #

只允许从你的Angular主页面发起的请求访问这些JS文件，拦截无合法来源的直接请求。

代码示例 #

在Program.cs中添加自定义中间件（放在静态文件中间件之前）：

var builder = WebApplication.CreateBuilder(args);

// 保留原有静态文件配置
builder.Services.AddStaticFiles();

var app = builder.Build();

// 自定义请求拦截中间件
app.Use(async (context, next) =>
{
    var requestPath = context.Request.Path.Value;
    // 匹配Angular生成的带哈希的JS/CSS文件（正则可根据实际调整）
    if (!string.IsNullOrEmpty(requestPath) && 
        Regex.IsMatch(requestPath, @"^\/[a-z0-9\-]+\.[a-f0-9]+\.(js|css)$", RegexOptions.IgnoreCase))
    {
        // 验证请求来源是否为你的站点域名
        var referer = context.Request.Headers.Referer.ToString();
        if (!referer.StartsWith("https://your-domain.com")) // 替换为你的实际域名
        {
            context.Response.StatusCode = StatusCodes.Status403Forbidden;
            await context.Response.WriteAsync("Access Denied");
            return;
        }
    }
    await next();
});

// 静态文件中间件
app.UseStaticFiles();

// SPA配置（保留原有逻辑）
app.UseSpa(spa =>
{
    spa.Options.SourcePath = "ClientApp";
    if (builder.Environment.IsDevelopment())
    {
        spa.UseAngularCliServer(npmScript: "start");
    }
});

app.Run();

三、方案2：优化Angular编译配置减少文件暴露 #

实现逻辑 #

通过Angular编译配置合并文件、关闭源码映射，降低文件辨识度与可读性：

1. 合并第三方依赖到单个文件，减少零散的哈希文件数量
2. 关闭sourceMap防止源码泄露，启用代码混淆压缩

代码示例 #

修改angular.json中的生产环境配置：

"configurations": {
  "production": {
    "optimization": true,
    "outputHashing": "all",
    "sourceMap": false,
    "extractCss": true,
    "namedChunks": false,
    "aot": true,
    "extractLicenses": true,
    "vendorChunk": true,
    "buildOptimizer": true
  }
}

四、方案3：过滤日志中的静态文件请求 #

如果只是不想让这些文件的请求出现在日志中，可直接配置ASP.NET Core日志过滤规则：

在appsettings.json中添加日志过滤：

"Logging": {
  "LogLevel": {
    "Default": "Information",
    "Microsoft.AspNetCore.StaticFiles": "None" // 关闭静态文件模块的日志输出
  }
}

注意事项 #

• 不要尝试完全禁止客户端访问这些JS文件，否则Angular应用无法正常运行；
• Referer验证存在被伪造的可能，若需更高安全性，可结合JWT令牌验证（会增加前端复杂度）；
• 生产环境务必开启Angular的代码压缩与混淆，即使文件被请求，也难以反编译出可读代码。

内容的提问来源于stack exchange，提问作者saeed Taghizade