如何限制Razor Pages仅允许通过localhost网址访问？

1. 代码层面强制绑定localhost #

在Program.cs里通过UseUrls()方法指定仅绑定localhost的地址，确保网站无论开发还是发布运行，都只监听本地请求：

var builder = WebApplication.CreateBuilder(args);

// 强制绑定localhost的HTTP和HTTPS端口
builder.WebHost.UseUrls("http://localhost:5000", "https://localhost:5001");

// 添加Razor Pages服务
builder.Services.AddRazorPages();

var app = builder.Build();

// 中间件配置
if (!app.Environment.IsDevelopment())
{
    app.UseExceptionHandler("/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();
app.UseAuthorization();

app.MapRazorPages();

app.Run();

设置后，网站只会响应localhost:5000或localhost:5001的请求，外部设备无法通过IP地址访问。

2. 固定开发环境访问地址 #

修改项目根目录的launchSettings.json，将applicationUrl字段设置为localhost地址，确保开发阶段默认用本地地址启动：

"profiles": {
  "http": {
    "commandName": "Project",
    "dotnetRunMessages": true,
    "launchBrowser": true,
    "applicationUrl": "http://localhost:5000",
    "environmentVariables": {
      "ASPNETCORE_ENVIRONMENT": "Development"
    }
  },
  "https": {
    "commandName": "Project",
    "dotnetRunMessages": true,
    "launchBrowser": true,
    "applicationUrl": "https://localhost:5001;http://localhost:5000",
    "environmentVariables": {
      "ASPNETCORE_ENVIRONMENT": "Development"
    }
  }
}

3. 发布后的运行说明 #

发布完成后，直接执行dotnet 你的项目名.dll启动网站即可——因为代码中已经通过UseUrls()绑定了localhost，启动后会自动以本地地址运行，无需额外配置。

注：Razor Pages确实不支持Native AOT发布，只能采用框架依赖或独立部署方式。

内容的提问来源于stack exchange，提问作者liang.good