Blazor Server中如何控制wwwroot外静态文件的访问权限？

要解决这个问题，核心是让静态文件请求的认证逻辑和Blazor的AuthenticationStateProvider保持一致，同时用ASP.NET Core中间件拦截静态文件请求做权限校验，完全遵循Blazor最佳实践，不需要依赖JS或脚手架。

1. 抽离共用的认证逻辑 #

先把自定义AuthenticationStateProvider里的身份验证逻辑拆成独立服务，这样不管是Blazor组件还是静态文件中间件，都用同一套规则验证用户身份，避免状态不一致。

示例代码：

// 定义共用的身份验证服务接口
public interface IUserAuthService
{
    Task<ClaimsPrincipal> GetAuthenticatedUser(HttpContext context);
}

// 实现服务，这里放你的自定义认证逻辑（比如从数据库/会话取用户信息）
public class UserAuthService : IUserAuthService
{
    public async Task<ClaimsPrincipal> GetAuthenticatedUser(HttpContext context)
    {
        // 示例：从Session取用户ID，再查数据库构建ClaimsPrincipal
        var userId = context.Session.GetString("CurrentUserId");
        if (string.IsNullOrEmpty(userId))
            return new ClaimsPrincipal(new ClaimsIdentity());

        // 替换成你的实际用户查询逻辑
        var user = await FetchUserFromDb(userId);
        if (user == null)
            return new ClaimsPrincipal(new ClaimsIdentity());

        var claims = new List<Claim>
        {
            new Claim(ClaimTypes.NameIdentifier, user.Id),
            new Claim(ClaimTypes.Name, user.Username)
            // 按需添加权限相关Claim
        };
        return new ClaimsPrincipal(new ClaimsIdentity(claims, "CustomAuth"));
    }

    private Task<User> FetchUserFromDb(string userId)
    {
        // 实际数据库查询逻辑
        return Task.FromResult(new User { Id = userId, Username = "test_user" });
    }
}

// 更新自定义AuthenticationStateProvider，使用共用服务
public class CustomAuthStateProvider : AuthenticationStateProvider
{
    private readonly IUserAuthService _authService;
    private readonly IHttpContextAccessor _httpContextAccessor;

    public CustomAuthStateProvider(IUserAuthService authService, IHttpContextAccessor httpContextAccessor)
    {
        _authService = authService;
        _httpContextAccessor = httpContextAccessor;
    }

    public override async Task<AuthenticationState> GetAuthenticationStateAsync()
    {
        var user = await _authService.GetAuthenticatedUser(_httpContextAccessor.HttpContext);
        return new AuthenticationState(user);
    }

    // 登出/登录后调用此方法更新Blazor的认证状态
    public async Task RefreshAuthState()
    {
        var user = await _authService.GetAuthenticatedUser(_httpContextAccessor.HttpContext);
        NotifyAuthenticationStateChanged(Task.FromResult(new AuthenticationState(user)));
    }
}

2. 配置静态文件中间件+权限拦截 #

在Program.cs里，先注册服务，然后添加一个中间件专门拦截外部静态文件的请求，用共用服务验证用户身份，只有通过认证（甚至满足特定权限）的用户才能访问。

示例代码：

var builder = WebApplication.CreateBuilder(args);

// 注册必要服务
builder.Services.AddHttpContextAccessor();
builder.Services.AddScoped<IUserAuthService, UserAuthService>();
builder.Services.AddScoped<AuthenticationStateProvider, CustomAuthStateProvider>();
builder.Services.AddSession(); // 如果用Session存用户信息，需要注册

var app = builder.Build();

// 启用Session（如果依赖的话）
app.UseSession();

// 只对外部静态文件的请求做权限校验
app.UseWhen(context => context.Request.Path.StartsWithSegments("/ExternalFiles"), appBuilder =>
{
    appBuilder.Use(async (context, next) =>
    {
        var authService = context.RequestServices.GetRequiredService<IUserAuthService>();
        var user = await authService.GetAuthenticatedUser(context);

        // 未认证直接返回401
        if (!user.Identity.IsAuthenticated)
        {
            context.Response.StatusCode = StatusCodes.Status401Unauthorized;
            return;
        }

        // 可选：进一步校验用户是否有权限访问该文件
        var relativeFilePath = context.Request.Path.Value.Replace("/ExternalFiles", "");
        if (!await HasFileAccessPermission(user, relativeFilePath))
        {
            context.Response.StatusCode = StatusCodes.Status403Forbidden;
            return;
        }

        // 验证通过，继续处理静态文件请求
        await next();
    });
});

// 配置外部静态文件的访问路径
var externalFilesDir = Path.Combine(builder.Environment.ContentRootPath, "ExternalFiles");
app.UseStaticFiles(new StaticFileOptions
{
    FileProvider = new PhysicalFileProvider(externalFilesDir),
    RequestPath = "/ExternalFiles"
});

// 其他Blazor相关配置
app.UseRouting();
app.MapBlazorHub();
app.MapFallbackToPage("/_Host");

app.Run();

// 示例：文件级权限校验逻辑
async Task<bool> HasFileAccessPermission(ClaimsPrincipal user, string filePath)
{
    // 替换成你的实际权限判断逻辑（比如检查用户是否拥有该文件的访问权限）
    return true;
}

3. 在Blazor组件中安全展示文件链接 #

在Blazor组件里，用AuthorizeView或[Authorize]特性确保只有认证用户能看到文件链接，再通过NavigationManager生成正确的文件路径。

示例组件：

@page "/my-files"
@inject NavigationManager NavManager
@attribute [Authorize]

<h3>我的专属文件</h3>

<ul>
    <li><a href="@NavManager.ToAbsoluteUri("/ExternalFiles/report.pdf")">季度报表</a></li>
    <li><a href="@NavManager.ToAbsoluteUri("/ExternalFiles/avatar.png")">个人头像</a></li>
</ul>

核心优势 #

• 逻辑统一：Blazor组件和静态文件请求用同一套认证规则，不会出现“Blazor里显示已登录，但静态文件请求被拦截”的不一致问题。
• 符合最佳实践：完全基于ASP.NET Core中间件和Blazor的认证体系，没有用任何规避手段。
• 权限可扩展：可以轻松在中间件里添加文件级别的权限校验，满足更细粒度的访问控制。

内容的提问来源于stack exchange，提问作者Mike T. Angelo