Blazor 8 SSR+Server应用中如何保护指定静态资源？

在Blazor 8（SSR+Server模式）里，你完全可以用ASP.NET Core的静态文件中间件结合授权策略，实现类似WebForms里<location>标签的路径级权限控制，不用把资源移到wwwroot外面。具体操作如下：

核心逻辑 #

• 先把不需要授权的assets文件夹放开，允许匿名访问，保证登录页、重置密码页的css/js等资源能正常加载
• 对docs和images这两个需要保护的文件夹，在访问静态文件前强制校验用户身份

具体实现（Program.cs） #

注意中间件的顺序很关键，认证、授权相关的必须放在需要保护的静态文件配置前面：

var builder = WebApplication.CreateBuilder(args);

// 保留你原有的服务配置：Identity、Blazor组件等
builder.Services.AddRazorComponents()
    .AddInteractiveServerComponents();
builder.Services.AddAuthentication();
builder.Services.AddAuthorization();
// ...其他服务代码保持不变

var app = builder.Build();

// 开发/生产环境的错误页配置也保留原有逻辑
if (app.Environment.IsDevelopment())
{
    app.UseDeveloperExceptionPage();
}
else
{
    app.UseExceptionHandler("/Error");
    app.UseHsts();
}

app.UseHttpsRedirection();

// 第一步：开放assets文件夹，允许所有用户访问
app.UseStaticFiles(new StaticFileOptions
{
    FileProvider = new PhysicalFileProvider(
        Path.Combine(builder.Environment.ContentRootPath, "wwwroot", "assets")),
    RequestPath = "/assets"
});

// 第二步：启用认证和授权中间件，这一步必须在后面的保护配置之前
app.UseAuthentication();
app.UseAuthorization();

// 第三步：保护docs文件夹，仅授权用户可访问
app.MapWhen(ctx => ctx.Request.Path.StartsWithSegments("/docs"), subApp =>
{
    subApp.UseAuthorization();
    subApp.UseStaticFiles(new StaticFileOptions
    {
        FileProvider = new PhysicalFileProvider(
            Path.Combine(builder.Environment.ContentRootPath, "wwwroot", "docs")),
        RequestPath = "/docs"
    });
});

// 同样配置保护images文件夹
app.MapWhen(ctx => ctx.Request.Path.StartsWithSegments("/images"), subApp =>
{
    subApp.UseAuthorization();
    subApp.UseStaticFiles(new StaticFileOptions
    {
        FileProvider = new PhysicalFileProvider(
            Path.Combine(builder.Environment.ContentRootPath, "wwwroot", "images")),
        RequestPath = "/images"
    });
});

// 最后保留Blazor的路由与组件渲染配置
app.UseAntiforgery();
app.MapRazorComponents<App>()
    .AddInteractiveServerRenderMode();

app.Run();

额外说明 #

• 如果根目录下还有favicon.ico这类需要匿名访问的静态文件，可以在assets的配置后面再加一个不带路径限制的UseStaticFiles()，它不会影响已经用MapWhen保护的docs和images路径。
• 要是需要更精细的权限控制（比如仅管理员能访问docs），可以在MapWhen的子应用中添加角色校验：

  subApp.UseAuthorization();
  subApp.Use(async (context, next) =>
  {
      if (!context.User.Identity.IsAuthenticated || !context.User.IsInRole("Admin"))
      {
          context.Response.StatusCode = 403;
          return;
      }
      await next();
  });
  

内容的提问来源于stack exchange，提问作者SandroRiz