Blazor WASM发布后appsettings.json敏感数据遭访问的防范方案

首先必须明确：Blazor WASM 是纯客户端运行的 Web 应用，所有部署到静态服务器的资源（包括 appsettings.json）都会被客户端浏览器下载，绝对不能把敏感数据（比如密钥、API 密钥、数据库连接字符串）放在客户端的配置文件里，这是最核心的原则。

下面是具体的解决办法：

1. 彻底迁移敏感数据到后端服务 #

把所有敏感信息移到后端服务（比如 ASP.NET Core Web API、Azure Functions 等）的配置中，后端的配置文件（如 appsettings.json）不会暴露给客户端。前端只需要通过 API 调用后端接口来获取业务能力，不需要直接持有敏感数据。

比如：原来前端直接用配置里的 API 密钥调用第三方服务，现在改成前端调用自己的后端接口，由后端持有密钥并完成第三方服务的调用，前端只处理结果即可。

2. 配置服务器拦截 appsettings.json 请求（按需使用） #

如果你的客户端配置里已经没有敏感数据，但仍不想让用户直接访问该文件，可以通过服务器配置拦截对 appsettings.json 的请求：

• IIS 配置：在站点的 web.config 中添加如下规则，拒绝所有用户访问该文件：

  <location path="appsettings.json">
    <system.webServer>
      <security>
        <authorization>
          <deny users="*" />
        </authorization>
      </security>
    </system.webServer>
  </location>
  

• Nginx 配置：在站点的 Nginx 配置中添加如下规则：

  location = /appsettings.json {
      deny all;
      return 403;
  }
  

注意：如果你的 Blazor WASM 应用需要读取这个配置文件，那么拦截会导致应用无法正常加载。所以这种方法只适合你已经移除所有敏感数据，且不需要客户端读取该文件，或者已经拆分了配置的场景。

3. 拆分配置文件（优化方案） #

将客户端需要的非敏感配置（比如 API 基础地址、UI 显示参数）放在单独的配置文件（如 appsettings.client.json）中，敏感数据完全剥离到后端。这样即使客户端下载了这个配置文件，也不会泄露敏感信息，同时也不需要额外拦截请求。

4. 不要尝试客户端加密敏感数据 #

不要想着加密客户端的配置文件后再部署——Blazor WASM 运行在客户端，解密密钥必然要包含在前端代码中，很容易被反编译获取，这种加密方式完全没有安全意义。

内容的提问来源于stack exchange，提问作者Omar Afify