如何增强ASP.NET Core Web API未授权GET端点的模拟访问安全性？

针对跨域场景下的用户模拟功能，结合你提到的通用密钥存在泄露风险的问题，以下是几个更可靠的安全机制：

1. 筑牢基础：给API加上身份与权限校验 #

当前的未授权GET端点是核心风险，首先要把API改为仅接受已授权请求：

• 管理后台的超级管理员必须先通过强身份验证（如账号密码+双因素认证）登录，建立有效会话。
• 发起模拟请求前，管理后台先校验自身会话的合法性，同时严格验证该管理员是否拥有模拟目标用户的权限（比如限定为同公司内用户，且超级管理员权限需提前配置固化）。

2. 用一次性、时效性的非对称加密令牌替代通用密钥 #

彻底抛弃通用密钥，改用单次/短有效期的JWT令牌，并采用非对称加密：

• 令牌内容必须包含：超级管理员ID、目标用户ID、请求生效时间、过期时间（建议5分钟以内）、请求来源IP。
• 管理后台用私钥对令牌签名，前端站点用公钥验证签名有效性，避免密钥泄露后的全局滥用。
• 令牌仅允许使用一次，前端站点验证通过后立即标记该令牌为已使用，防止重复调用。

3. 严格限制请求的来源与方式 #

• 把GET请求改为POST请求，避免请求被浏览器缓存、或者通过URL泄露敏感参数。
• 配置CORS规则，仅允许管理后台的具体域名发起跨域请求，禁止使用*通配符。
• 前端站点校验请求的Origin或Referer头，确保请求来自可信的管理后台域名；同时验证请求IP与令牌中携带的IP一致，降低令牌被盗后的滥用可能。

4. 模拟会话的全链路管控 #

• 所有模拟操作必须记录审计日志：包括管理员ID、目标用户ID、操作时间、IP地址、会话起止时间等，便于事后追溯。
• 设置模拟会话的短超时机制：模拟登录的会话有效期建议设为30分钟以内，且管理员可在管理后台主动终止任意模拟会话。
• 添加异常行为告警：比如同一管理员短时间内多次模拟不同用户、非工作时段发起模拟操作等，触发实时告警。

5. 避免前端直接处理敏感逻辑 #

不要让前端直接调用模拟API，改为由后端之间完成权限校验：

• 管理员在管理后台选择目标用户后，由管理后台的后端向前端站点的后端发起模拟请求（携带管理员的身份凭证与权限信息）。
• 前端站点后端验证通过后，生成目标用户的临时会话凭证，返回给管理后台。
• 管理后台跳转到前端站点，使用该临时会话凭证自动登录，全程前端无需接触敏感的模拟权限令牌。

内容的提问来源于stack exchange，提问作者Mihir Shah