ASP.NET Core 3.1中如何阻止appsettings.json在浏览器暴露？

以下是几种可靠的解决方法，按优先级排序：

1. 修正静态文件中间件配置（最直接） #

ASP.NET Core默认静态文件中间件仅暴露wwwroot目录下的内容，若你的appsettings.json能被直接访问，大概率是静态文件中间件的文件提供者配置错误。在Startup.cs的Configure方法中，确保静态文件中间件仅指向wwwroot：

using Microsoft.Extensions.FileProviders;
using System.IO;

// ...

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // ... 其他中间件配置

    // 确保静态文件仅来自wwwroot目录
    app.UseStaticFiles(new StaticFileOptions
    {
        FileProvider = new PhysicalFileProvider(
            Path.Combine(Directory.GetCurrentDirectory(), "wwwroot")),
        RequestPath = ""
    });

    // ... 其他中间件（如UseRouting、UseEndpoints等）
}

2. 拦截特定文件的访问请求 #

如果无法修改静态文件的根目录，可通过静态文件中间件的OnPrepareResponse事件拦截对appsettings.json的请求：

using Microsoft.AspNetCore.Http;

// ...

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // ...

    app.UseStaticFiles(new StaticFileOptions
    {
        OnPrepareResponse = ctx =>
        {
            // 匹配请求的文件名，阻止访问appsettings.json
            if (ctx.File.Name.Equals("appsettings.json", StringComparison.OrdinalIgnoreCase))
            {
                ctx.Context.Response.StatusCode = StatusCodes.Status404NotFound;
                ctx.Context.Response.ContentLength = 0;
                // 可选：重定向到首页或自定义404页面
                ctx.Context.Response.Redirect("/");
            }
        }
    });

    // ...
}

3. 使用URL重写规则屏蔽访问 #

通过URL重写中间件直接拦截指向appsettings.json的请求，返回404：

首先在Startup.cs添加命名空间：

using Microsoft.AspNetCore.Rewrite;

然后在Configure方法中配置重写规则：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // ...

    var rewriteOptions = new RewriteOptions()
        // 拦截appsettings.json的请求，直接返回404并终止响应
        .Add(@"^appsettings\.json$", context =>
        {
            context.HttpContext.Response.StatusCode = StatusCodes.Status404NotFound;
            context.Result = RuleResult.EndResponse;
        });

    app.UseRewriter(rewriteOptions);

    // ... 其他中间件
}

4. 调整项目文件的生成属性 #

确保appsettings.json不会被错误标记为静态内容。打开项目的.csproj文件，修改appsettings.json的配置：

<Content Include="appsettings.json">
  <CopyToOutputDirectory>PreserveNewest</CopyToOutputDirectory>
  <CopyToPublishDirectory>PreserveNewest</CopyToPublishDirectory>
  <!-- 排除在单文件发布之外（如果使用单文件部署） -->
  <ExcludeFromSingleFile>true</ExcludeFromSingleFile>
</Content>

注意：不要将生成操作改为None，否则ASP.NET Core运行时无法读取配置文件。

内容的提问来源于stack exchange，提问作者user21124024