如何保护Blazor WebAssembly项目wwwroot下appsettings.json的外部访问安全？

1. 更安全的配置存储方式 #

由于Blazor WebAssembly是客户端运行的应用，任何直接放在前端的资源理论上都能被用户获取，因此核心原则是敏感配置绝对不能放在前端，以下是可行的安全存储方案：

• 后端API动态分发配置
  将敏感配置（如OAuth密钥、数据库连接串等）保存在后端API的appsettings.json（已确保安全）中，编写一个受身份验证保护的API接口，在Blazor应用启动时调用该接口获取所需配置。这种方式只有经过认证的合法用户才能获取配置，且敏感内容全程不暴露在前端。
  示例后端控制器代码：

  [Authorize]
  [ApiController]
  [Route("api/[controller]")]
  public class ConfigController : ControllerBase
  {
      private readonly IConfiguration _config;
  
      public ConfigController(IConfiguration config)
      {
          _config = config;
      }
  
      [HttpGet]
      public IActionResult GetAppConfig()
      {
          var frontendConfig = new
          {
              ApiBaseUrl = _config["ApiBaseUrl"],
              GoogleClientId = _config["Google:ClientId"] // 客户端ID可公开，密钥绝对不能返回
          };
          return Ok(frontendConfig);
      }
  }
  

  Blazor端初始化时调用接口：

  var httpClient = new HttpClient();
  var config = await httpClient.GetFromJsonAsync<FrontendConfig>("api/config");
  // 将config注入服务供应用使用
  

• 编译时注入环境变量
  对于非敏感的前端配置（如UI主题、功能开关），可通过环境变量在编译时注入到应用中，避免使用静态的appsettings.json。编译后配置会嵌入到程序集里，虽能被反编译，但比直接访问JSON文件更隐蔽。
  实现方式：在项目的launchSettings.json中设置环境变量，或通过dotnet publish命令传入参数，然后在Blazor的Program.cs中读取：

  var builder = WebAssemblyHostBuilder.CreateDefault(args);
  builder.Configuration.AddEnvironmentVariables();
  var apiUrl = builder.Configuration["API_BASE_URL"];
  

• 敏感配置的处理底线
  像Google OAuth的客户端密钥这类敏感内容，绝对不能出现在前端代码或配置中，必须由后端完成OAuth流程的交互，前端仅需使用公开的客户端ID即可。

2. 限制appsettings.json的外部访问 #

如果必须使用wwwroot下的appsettings.json，可通过配置服务器规则阻止外部直接访问，但需注意：这种方式仅能防止用户直接下载文件，无法阻止已加载到应用内存中的配置被开发者工具查看，因此仍不建议存放敏感内容。

• IIS服务器配置
  在项目的web.config中添加请求过滤规则，隐藏appsettings.json：

  <configuration>
    <system.webServer>
      <security>
        <requestFiltering>
          <hiddenSegments>
            <add segment="appsettings.json" />
          </hiddenSegments>
        </requestFiltering>
      </security>
    </system.webServer>
  </configuration>
  

• Kestrel服务器配置
  如果后端托管Blazor静态文件，可在后端的Program.cs中配置静态文件中间件，拦截对appsettings.json的请求：

  app.UseStaticFiles(new StaticFileOptions
  {
      OnPrepareResponse = ctx =>
      {
          if (ctx.File.Name.Equals("appsettings.json", StringComparison.OrdinalIgnoreCase))
          {
              ctx.Context.Response.StatusCode = StatusCodes.Status404NotFound;
              ctx.Context.Response.ContentLength = 0;
              ctx.Context.Response.Body = Stream.Null;
          }
      }
  });
  

内容的提问来源于stack exchange，提问作者Juzer Hakimji