.NET Core中间件返回403：YARP反向代理权限验证方案合理性咨询

一、实现模式合理性 #

用自定义中间件做请求头（JWT）验证，在不通过时返回403状态码是完全合理的实现模式。YARP基于ASP.NET Core中间件管道构建，这种方式符合ASP.NET Core的扩展机制，能在请求转发到后端服务前完成校验，直接拦截非法请求，避免无效的后端调用，是反向代理层做权限校验的标准方案之一。

二、当前代码的问题及修正 #

你的中间件没有报错，但存在逻辑漏洞，导致请求可能异常挂起，以下是问题点和修正后的代码：

问题点 #

1. 未处理token为空的场景：如果请求没有Authorization头，token为null，代码会跳过所有逻辑，既不返回403也不调用_next，导致请求一直处于挂起状态。
2. 未完成响应：设置403状态码后，没有主动结束响应，ASP.NET Core可能不会正确返回结果给客户端。
3. 逻辑嵌套冗余：嵌套的if可以优化为更清晰的分支结构。

修正后的代码 #

public class ValidateJwtRolesMiddleware
{
    private readonly RequestDelegate _next;
    private readonly IConfiguration _configuration;

    public ValidateJwtRolesMiddleware(RequestDelegate next, IConfiguration configuration)
    {
        _next = next;
        _configuration = configuration;
    }

    public async Task Invoke(HttpContext context)
    {
        var token = context.Request.Headers["Authorization"].FirstOrDefault()?.Split(" ").Last();

        // 无token直接返回403
        if (token == null)
        {
            context.Response.StatusCode = StatusCodes.Status403Forbidden;
            await context.Response.WriteAsync("Missing authorization token");
            await context.Response.CompleteAsync();
            return;
        }

        // token无效返回403
        if (!IsTokenValid(context, token))
        {
            context.Response.StatusCode = StatusCodes.Status403Forbidden;
            await context.Response.WriteAsync("Invalid token or insufficient permissions");
            await context.Response.CompleteAsync();
            return;
        }

        // 验证通过，继续执行后续中间件（包括YARP代理）
        context.Response.Headers.Add("NEWVALUE", "TEST");
        await _next(context);
    }

    // 自定义的JWT角色验证逻辑
    private bool IsTokenValid(HttpContext context, string token)
    {
        // 这里实现你的具体校验逻辑，比如解析token、校验角色等
        // 示例：从配置读取允许的角色，对比token中的角色信息
        var allowedRole = _configuration["AllowedRole"];
        // 省略解析和校验步骤，返回验证结果
        return true;
    }
}

额外注意事项 #

• 中间件不需要返回RequestDelegate，它的核心是通过Invoke方法处理请求，通过调用_next(context)将请求传递到下一个中间件，或者直接结束响应拦截请求——你之前的误解可能源于对中间件管道的认知偏差。
• 添加中间件时，要确保放在YARP代理中间件之前，这样才能在请求转发前完成校验：

var app = builder.Build();

// 先添加自定义验证中间件
app.UseMiddleware<ValidateJwtRolesMiddleware>();

// 再添加YARP代理中间件
app.MapReverseProxy();

app.Run();

内容的提问来源于stack exchange，提问作者user3545750