如何在Angular应用中限制通过URL访问assets目录

针对你的场景，要禁止通过URL直接访问assets目录下的配置文件（比如config.json），可以从前端服务器拦截、应用代码控制、K8s Ingress层过滤三个层面入手，结合Docker和K8s的部署特性，具体方案如下：

1. 前端静态文件服务器层面拦截（推荐） #

如果你的Web应用用Nginx、Apache这类服务器做静态文件托管或反向代理，直接在服务器配置里添加访问规则即可，这是最高效的拦截方式。

Nginx配置示例 #

在Nginx的server配置块中添加路径匹配规则，拒绝访问指定配置文件：

# 禁止访问单个配置文件
location ~ ^/assets/config\.json$ {
    deny all;
    return 403;
}

# 或者禁止访问assets下所有配置类文件（如json/yaml/yml）
location ~ ^/assets/.*\.(json|yaml|yml)$ {
    deny all;
    return 403;
}

Docker集成 #

将上述Nginx配置文件打包到镜像中，修改Dockerfile：

# 基于官方Nginx镜像
FROM nginx:alpine

# 复制自定义配置文件覆盖默认配置
COPY nginx.conf /etc/nginx/conf.d/default.conf

# 复制Web应用静态文件到Nginx默认目录
COPY . /usr/share/nginx/html

K8s部署 #

可以将Nginx配置作为K8s ConfigMap挂载到容器，避免每次修改配置都重新构建镜像：

apiVersion: v1
kind: ConfigMap
metadata:
  name: nginx-config
data:
  default.conf: |
    server {
        listen 80;
        server_name localhost;
        root /usr/share/nginx/html;

        # 禁止访问assets下的配置文件
        location ~ ^/assets/config\.json$ {
            deny all;
            return 403;
        }

        location / {
            try_files $uri $uri/ /index.html;
        }
    }
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: web-app
spec:
  replicas: 3
  selector:
    matchLabels:
      app: web-app
  template:
    metadata:
      labels:
        app: web-app
    spec:
      containers:
      - name: nginx
        image: your-web-app-image:latest
        ports:
        - containerPort: 80
        volumeMounts:
        - name: nginx-config
          mountPath: /etc/nginx/conf.d/default.conf
          subPath: default.conf
      volumes:
      - name: nginx-config
        configMap:
          name: nginx-config

2. 应用代码层面拦截 #

如果你的Web应用是由后端服务（如Node.js/Express、Python/Flask）直接托管静态文件，可以在代码中添加中间件拦截请求：

Node.js/Express示例 #

const express = require('express');
const app = express();

// 拦截assets下的配置文件请求
app.use((req, res, next) => {
  // 匹配单个文件或一类文件
  if (req.path === '/assets/config.json' || req.path.match(/^\/assets\/.*\.(json|yaml)$/)) {
    return res.status(403).send('Forbidden');
  }
  next();
});

// 托管静态文件
app.use(express.static('.'));

app.listen(3000, () => {
  console.log('Server running on port 3000');
});

修改代码后重新构建Docker镜像，更新K8s Deployment的镜像版本即可生效。

3. K8s Ingress层面过滤 #

如果你的微服务通过K8s Ingress暴露到外部，可以在Ingress资源中添加规则，直接在入口层拦截非法请求：

Nginx Ingress示例 #

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: web-app-ingress
  annotations:
    # 添加Nginx服务器片段，拦截指定路径
    nginx.ingress.kubernetes.io/server-snippet: |
      location ~ ^/assets/config\.json$ {
        deny all;
        return 403;
      }
spec:
  rules:
  - host: your-domain.com
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: web-app-service
            port:
              number: 80

额外注意事项 #

• 更安全的做法是避免将敏感配置文件放在静态资源目录，优先通过K8s Secrets/ConfigMaps将配置注入到应用环境变量中，或者通过后端接口按需提供配置，从根源上杜绝暴露风险。
• 配置完成后，务必测试验证：用curl http://localhost:3000/assets/config.json访问，确认返回403状态码。

内容的提问来源于stack exchange，提问作者Sudhir