Azure Web App中Asp.Net Core应用如何为内部API调用绕过身份验证？

针对你的场景，有几种可行的方式实现仅允许本地（应用自身）请求跳过认证访问指定端点，以下是具体方案：

方案1：通过Asp.Net Core中间件放行本地指定端点请求 #

直接在应用的中间件管道中添加逻辑，判断请求是否来自本地回环且目标是/api/check-for-updates，跳过认证流程：

操作步骤 #

1. 修改自我调用的地址为本地回环地址：将https://my-app-name.azurewebsites.net/api/check-for-updates改为http://localhost:8080/api/check-for-updates（Azure Web App默认内部端口为8080，若有调整需对应修改）。
2. 在Program.cs（.NET 6+）中，在认证中间件之前插入自定义中间件：

app.Use(async (context, next) =>
{
    // 匹配目标端点
    if (context.Request.Path.StartsWithSegments("/api/check-for-updates"))
    {
        // 验证是否为本地回环请求
        var isLocalRequest = context.Connection.RemoteIpAddress != null && 
                            (IPAddress.IsLoopback(context.Connection.RemoteIpAddress) ||
                             context.Connection.RemoteIpAddress.ToString() == "::1");

        if (isLocalRequest)
        {
            // 跳过认证，直接执行后续中间件
            await next.Invoke();
            return;
        }
    }

    // 非本地/非目标端点，走正常认证流程
    await next.Invoke();
});

// 确保自定义中间件在认证中间件之前注册
app.UseAuthentication();
app.UseAuthorization();

这个方案直接在应用层控制，无需依赖Azure门户配置，精准限定本地请求和指定端点。

方案2：Azure Easy Auth排除路径+访问限制组合控制 #

利用Azure Web App的内置认证（Easy Auth）排除指定路径，再通过访问限制仅允许本地IP访问该路径：

操作步骤 #

1. 排除端点认证：

   • 进入Web App门户页面 → 左侧菜单「Authentication」
   • 点击Azure Active Directory的「Edit」按钮
   • 滚动到「Excluded paths」，添加/api/check-for-updates，保存配置。

2. 添加访问限制规则：

   • 进入Web App门户页面 → 左侧菜单「Networking」→「Access restrictions」
   • 添加允许规则：
     • 优先级：设置为较高值（如100，确保优先执行）
     • 允许的IP范围：添加127.0.0.1/32和::1/128（本地回环IP）
     • 目标路径：填写/api/check-for-updates
   • 添加拒绝规则（优先级设为更低值，如200）：拒绝所有IP访问/api/check-for-updates，确保外部请求无法访问该端点。

此方案通过Azure平台层面实现控制，无需修改应用代码，但需注意路径匹配为前缀匹配，需确保路径配置准确。

方案3：ApiKey+本地IP双重验证（可选） #

如果需要更高的安全性，可以给目标端点添加ApiKey验证，应用自我调用时携带密钥，同时允许本地请求：

操作步骤 #

1. 在appsettings.json中添加ApiKey配置：

{
  "LocalApiKey": "your-custom-secret-key"
}

2. 在Program.cs中定义授权策略：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("LocalOrValidApiKey", policy =>
    {
        policy.RequireAssertion(context =>
        {
            // 验证本地请求
            var isLocal = context.HttpContext.Connection.RemoteIpAddress != null && 
                          IPAddress.IsLoopback(context.HttpContext.Connection.RemoteIpAddress);

            // 验证请求头中的ApiKey
            var hasValidApiKey = context.HttpContext.Request.Headers.TryGetValue("X-Local-Api-Key", out var apiKey) &&
                                 apiKey == builder.Configuration["LocalApiKey"];

            return isLocal || hasValidApiKey;
        });
    });
});

3. 在控制器端点上应用该策略：

[Authorize(Policy = "LocalOrValidApiKey")]
[HttpGet("api/check-for-updates")]
public IActionResult CheckForUpdates()
{
    // 业务逻辑代码
    return Ok();
}

这个方案兼顾了本地请求的便利性和外部访问的安全性，适合对端点安全要求较高的场景。

内容的提问来源于stack exchange，提问作者glenatron