ASP.NET Core 6.0保护外部静态文件后应用遇401无法访问求助

问题分析 #

你当前的OnPrepareResponse逻辑会拦截所有未认证请求返回401，但应用自身访问这些文件时（比如后端读取、前端页面加载），可能未携带有效认证信息，或者内部请求被误判为未认证，导致返回401。

可行方案 #

1. 区分内部请求与外部请求 #

在OnPrepareResponse中添加判断，允许本地服务器发起的内部请求绕过认证检查：

app.UseStaticFiles(new StaticFileOptions
{
    FileProvider = new PhysicalFileProvider(Path.Combine(app.Environment.ContentRootPath, "static")),
    RequestPath = "/static",
    OnPrepareResponse = ctx =>
    {
        // 允许本地内部请求（比如后端服务读取文件）
        bool isLocalRequest = ctx.Context.Connection.RemoteIpAddress != null 
            && ctx.Context.Connection.LocalIpAddress != null
            && ctx.Context.Connection.RemoteIpAddress.Equals(ctx.Context.Connection.LocalIpAddress);
        
        // 仅拦截外部未认证请求
        if (!isLocalRequest && !ctx.Context.User.Identity.IsAuthenticated)
        {
            ctx.Context.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
            ctx.Context.Response.ContentLength = 0;
            ctx.Context.Response.Body = Stream.Null;
        }
    }
});

2. 使用授权策略保护静态文件路径 #

通过端点路由替代直接在StaticFileOptions中处理认证，更灵活地控制权限：

步骤1：定义授权策略

在builder.Services.AddAuthorization中添加自定义策略：

builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("StaticFileAccess", policy =>
    {
        policy.RequireAuthenticatedUser();
        // 可按需添加角色/声明要求，比如：
        // policy.RequireRole("ContentViewer");
    });
});

步骤2：用端点路由处理静态文件请求

移除原有的UseStaticFiles配置，替换为以下端点映射：

app.MapGet("/static/{**path}", async (HttpContext context, string path) =>
{
    var contentRoot = app.Environment.ContentRootPath;
    var fileProvider = new PhysicalFileProvider(Path.Combine(contentRoot, "static"));
    var fileInfo = fileProvider.GetFileInfo(path);

    if (!fileInfo.Exists)
    {
        context.Response.StatusCode = (int)HttpStatusCode.NotFound;
        return;
    }

    // 执行授权检查
    var authResult = await context.AuthorizeAsync("StaticFileAccess");
    if (!authResult.Succeeded)
    {
        context.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
        return;
    }

    // 设置正确的MIME类型并返回文件
    var contentTypeProvider = new FileExtensionContentTypeProvider();
    if (!contentTypeProvider.TryGetContentType(fileInfo.Name, out var contentType))
    {
        contentType = "application/octet-stream";
    }
    context.Response.ContentType = contentType;
    await context.Response.SendFileAsync(fileInfo);
}).RequireAuthorization("StaticFileAccess");

3. 允许特定路径匿名访问 #

如果应用需要公开访问部分静态文件（比如logo图片），可以单独配置匿名访问的静态文件中间件：

// 先配置公开访问的静态文件路径
app.UseStaticFiles(new StaticFileOptions
{
    FileProvider = new PhysicalFileProvider(Path.Combine(app.Environment.ContentRootPath, "static", "public")),
    RequestPath = "/static/public"
});

// 再配置需要认证的静态文件路径
app.UseStaticFiles(new StaticFileOptions
{
    FileProvider = new PhysicalFileProvider(Path.Combine(app.Environment.ContentRootPath, "static")),
    RequestPath = "/static",
    OnPrepareResponse = ctx =>
    {
        // 排除public路径（已单独配置）
        if (!ctx.Context.Request.Path.StartsWithSegments("/static/public") && !ctx.Context.User.Identity.IsAuthenticated)
        {
            ctx.Context.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
            ctx.Context.Response.ContentLength = 0;
            ctx.Context.Response.Body = Stream.Null;
        }
    }
});

4. 检查自定义中间件StaticFileAuthorizationMiddleware #

如果你的自定义中间件StaticFileAuthorizationMiddleware逻辑有问题，可能会干扰认证流程。确保它正确传递请求：

public class StaticFileAuthorizationMiddleware
{
    private readonly RequestDelegate _next;

    public StaticFileAuthorizationMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        // 这里添加你的授权逻辑，不要阻塞请求传递
        // 示例：仅对特定路径检查
        if (context.Request.Path.StartsWithSegments("/static"))
        {
            if (!context.User.Identity.IsAuthenticated)
            {
                context.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
                return;
            }
        }

        await _next(context);
    }
}

注意：如果使用该中间件，应确保它在UseAuthentication和UseAuthorization之后、UseStaticFiles之前，避免认证信息未加载就执行检查。

内容的提问来源于stack exchange，提问作者Hackalaus