如何在YARP反向代理中配置凭证授权及安全存储凭证？

1. 修复Authorization请求头配置错误 #

你之前在Transforms里用了HTTP_Authorization作为头名，这是错误的——YARP中设置请求头时直接用标准头名Authorization即可，不需要加HTTP_前缀。另外要确保Basic认证字符串格式正确：

• 格式必须是 Basic [Base64编码的"用户名:密码"]
• 比如用户名是admin，密码是123456，先拼接成admin:123456，再做Base64编码得到YWRtaW46MTIzNDU2，最终头值就是Basic YWRtaW46MTIzNDU2

修改后的路由配置示例：

"ReverseProxy": {
  "Routes": {
    "route1": {
      "ClusterId": "cluster1",
      "Order": 1,
      "Match": {
        "Path": "/somePath/{**path1}"
      },
      "Transforms": [
        {
          "PathPattern": "/somePattern/{**path1}"
        },
        {
          "RequestHeader": "Authorization",
          "Set": "Basic YWRtaW46MTIzNDU2"
        }
      ]
    }
  },
  "Clusters": {
    "cluster1": {
      "Destinations": {
        "destination1": {
          "Address": "https://someSitewithCredentials"
        }
      }
    }
  }
}

2. 避免在配置文件明文存储凭证 #

直接把Base64编码的认证字符串写在appsettings.json里确实不安全，尤其是生产环境。推荐以下几种方案：

开发环境：使用.NET机密管理器 #

用机密管理器存储敏感信息，避免提交到代码仓库：

1. 打开命令行，进入项目根目录
2. 执行命令：

dotnet user-secrets set "ReverseProxy:Routes:route1:Transforms:1:Set" "Basic YWRtaW46MTIzNDU2"

3. 移除appsettings.json中对应的Set值，机密管理器的配置会自动覆盖。

生产环境：使用环境变量或密钥管理服务 #

• 环境变量：设置环境变量ReverseProxy__Routes__route1__Transforms__1__Set（注意用双下划线替换冒号），值为完整的Basic认证字符串。
• 密钥管理服务：比如Azure Key Vault、AWS Secrets Manager，通过.NET的配置提供者加载密钥，避免本地存储敏感信息。

3. 更优雅的认证方式：配置集群HttpClient的Credentials #

如果目标站点是Basic认证，也可以直接给集群的HttpClient配置凭证，不需要在路由里设置请求头：

"ReverseProxy": {
  "Routes": {
    "route1": {
      "ClusterId": "cluster1",
      "Order": 1,
      "Match": {
        "Path": "/somePath/{**path1}"
      },
      "Transforms": [
        {
          "PathPattern": "/somePattern/{**path1}"
        }
      ]
    }
  },
  "Clusters": {
    "cluster1": {
      "Destinations": {
        "destination1": {
          "Address": "https://someSitewithCredentials"
        }
      },
      "HttpClient": {
        "SocketsHttpHandler": {
          "Credentials": {
            "UserName": "admin",
            "Password": "123456"
          }
        }
      }
    }
  }
}

这种方式YARP会自动处理Authorization头的生成和添加，更安全也更易维护，敏感信息同样可以通过机密管理器或环境变量注入。

内容的提问来源于stack exchange，提问作者User12345