ASP.NET Core API如何获取发起调用的前端自身IP以限制本地访问？

问题描述 #

想要给ASP.NET Core Web API添加安全限制，只允许本地连接发起调用。最初尝试使用IsLocal方法但没找到，于是自己编写了验证本地IP的代码：

var connection = req.HttpContext.Connection;
Console.WriteLine(connection.RemoteIpAddress);
Console.WriteLine(connection.LocalIpAddress);
if (connection.RemoteIpAddress != null)
{
    if (connection.LocalIpAddress != null)
    {
        return connection.RemoteIpAddress.Equals(connection.LocalIpAddress);
    }
    else
    {
        return IPAddress.IsLoopback(connection.RemoteIpAddress);
    }
}

但实际运行时发现，RemoteIpAddress获取到的是访问Vue前端的客户端设备IP，而非前端所在服务器的IP。比如前端和后端都部署在IP为1.1.1.10的NAS上，当IP为1.1.1.20的设备访问前端时，后端拿到的RemoteIpAddress是1.1.1.20，不符合仅允许本地（前端服务器）调用的需求。当前Vue的请求代码为：

let result = await axios.post(url, formData)

原因分析 #

核心原因是浏览器会直接向后端发起请求，而非通过前端服务器转发，所以后端接收到的请求来源是客户端设备的IP，不是前端服务器的IP。

解决方案 #

方案一：让后端仅监听本地地址（最安全） #

修改ASP.NET Core的Kestrel配置，让后端只监听localhost或127.0.0.1，这样外部设备无法直接访问后端，只有同一机器上的服务（比如前端的静态文件服务器）能发起本地调用。

在Program.cs中添加配置：

builder.WebHost.ConfigureKestrel(options =>
{
    // 只监听本地5000端口，可根据实际端口修改
    options.ListenLocalhost(5000);
});

同时，将Vue请求的目标地址改为后端的本地地址（比如http://localhost:5000/api/xxx），这样前端服务在本地转发请求时，后端会识别为本地连接。

方案二：使用ASP.NET Core内置的IsLocal判断 #

ASP.NET Core内置了HttpContext.Connection.IsLocal属性，可直接用来判断是否为本地连接，无需自行编写IP验证逻辑。可以通过中间件实现全局限制：

app.Use(async (context, next) =>
{
    if (!context.Connection.IsLocal)
    {
        context.Response.StatusCode = StatusCodes.Status403Forbidden;
        await context.Response.WriteAsync("仅允许本地访问");
        return;
    }
    await next();
});

如果前端请求经过反向代理（比如Nginx），需要先配置ForwardedHeaders，让后端正确识别真实的连接来源：

builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
    options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
    // 添加前端服务器的IP到允许的代理列表
    options.KnownProxies.Add(IPAddress.Parse("1.1.1.10"));
});

// 在其他中间件之前启用ForwardedHeaders
app.UseForwardedHeaders();

方案三：验证前端服务器IP #

如果后端需要对外监听，但仅允许指定的前端服务器IP访问，可以直接在代码中验证RemoteIpAddress是否为前端服务器的IP：

var allowedFrontendIp = IPAddress.Parse("1.1.1.10");
var remoteIp = req.HttpContext.Connection.RemoteIpAddress;

if (remoteIp != null && !remoteIp.Equals(allowedFrontendIp))
{
    return Results.Forbid();
}

这种方式需要确保所有前端请求都通过前端服务器转发（而非浏览器直接请求后端），否则依然会拿到客户端IP。

内容的提问来源于stack exchange，提问作者Seppe OK