如何在ASP.NET Core(.NET6)中配置独立端口的专属控制平面端点

核心实现思路 #

利用ASP.NET Core的中间件分支和路由约束能力，将不同端口/主机的请求导向独立的中间件管道与端点集合，确保两组端点完全隔离，仅在指定地址可访问，同时共享进程内部状态。

具体配置步骤 #

1. 配置多端口监听 #

首先在Program.cs中配置Kestrel监听多个端口，包含主API端口和控制平面端口：

var builder = WebApplication.CreateBuilder(args);

// 配置Kestrel监听两个端口
builder.WebHost.ConfigureKestrel(options =>
{
    options.ListenLocalhost(5001); // 主API的HTTPS端口
    options.ListenLocalhost(1234); // 控制平面专属端口
});

2. 创建独立中间件分支与端点 #

使用MapWhen根据请求的端口创建独立的中间件管道，分别注册主API和控制平面的端点与专属中间件：

var app = builder.Build();

// 主API专属管道：仅处理主端口的请求
app.MapWhen(context => 
    context.Request.Host.Port == 5001, mainApp =>
{
    // 主API专属中间件
    mainApp.UseHttpsRedirection();
    mainApp.UseAuthorization();

    // 主API端点
    mainApp.MapGet("/api/values", () => new string[] { "value1", "value2" })
           .WithName("GetMainApiValues");
});

// 控制平面专属管道：仅处理控制端口的请求
app.MapWhen(context => 
    context.Request.Host.Port == 1234, controlApp =>
{
    // 控制平面专属中间件（更严格的权限校验）
    controlApp.UseHttpsRedirection();
    controlApp.UseMiddleware<StrictControlAuthMiddleware>(); // 自定义严格权限中间件

    // 控制平面端点（可直接访问进程内部状态）
    controlApp.MapGet("/control/internal-status", () => new 
    { 
        AppStatus = "Running", 
        InternalCacheCount = GetInternalCacheCount() // 进程内部状态示例
    })
    .WithName("GetControlStatus");
});

app.Run();

3. 进阶：用路由约束强化隔离 #

如果需要更精确的主机+端口约束，可以直接给终结点添加RequireHost规则，无需拆分中间件管道：

// 主API端点：仅允许localhost:5001访问
app.MapGet("/api/values", () => new string[] { "value1", "value2" })
   .RequireHost("localhost:5001");

// 控制平面端点：仅允许localhost:1234访问
app.MapGet("/control/internal-status", () => new 
{ 
    AppStatus = "Running", 
    InternalCacheCount = GetInternalCacheCount() 
})
.RequireHost("localhost:1234")
.UseMiddleware<StrictControlAuthMiddleware>();

4. 验证隔离效果 #

• 访问https://localhost:5001/api/values可正常返回主API结果，访问https://localhost:5001/control/internal-status会返回404
• 访问https://localhost:1234/control/internal-status可正常返回控制平面结果，访问https://localhost:1234/api/values会返回404

关键注意事项 #

• MapWhen创建的中间件分支相互独立，分支内的中间件不会影响其他管道
• 若需共享部分中间件（如日志），可在MapWhen之前注册，所有分支会自动继承
• 控制平面的严格权限可通过自定义中间件实现，比如强制API密钥、IP白名单校验

内容的提问来源于stack exchange，提问作者Fabian