如何避免在IIS托管的.NET Web API中硬编码密码重置URL

方法1：从当前请求上下文动态获取主机信息 #

如果你的SendResetPasswordMail方法能拿到HttpContext（比如在控制器类中，或通过依赖注入传入），可以直接从请求里提取协议、主机和端口，动态拼接完整URL：

private ReturnHandler SendResetPasswordMail(string email, string ott, HttpContext httpContext)
{
    ReturnHandler result = new ReturnHandler();
    List<string> emails = new List<string>();
    emails.Add(email);
    string subject = "Promjena lozinke";
    
    // 从请求上下文提取协议、主机（含端口）
    var scheme = httpContext.Request.Scheme; // 自动获取http/https
    var host = httpContext.Request.Host.Value; // 自动拿到类似axatszg-vw0038:13702的主机信息
    string link = $"{scheme}://{host}/#/change-password";
    
    string[] parameters = { subject, "link za promjenu lozinke:", link + "?token=" + ott};
    // 后续邮件发送逻辑...
    return result;
}

调用示例（在控制器方法中）：

public IActionResult RequestPasswordReset(string email)
{
    var ott = GenerateOtt(); // 你的一次性令牌生成逻辑
    _yourMailService.SendResetPasswordMail(email, ott, HttpContext);
    return Ok();
}

方法2：通过配置文件管理前端基础URL #

如果前端与API部署在不同域名，或不想依赖请求上下文，可以把前端的基础URL存入配置文件，不同环境（开发/测试/生产）用不同配置：

1. 在appsettings.json中添加配置项：

{
  "FrontendConfig": {
    "ResetPasswordBaseUrl": "http://axatszg-vw0038:13702/#/change-password"
  }
}

2. 创建对应配置类：

public class FrontendConfig
{
    public string ResetPasswordBaseUrl { get; set; }
}

3. 在Program.cs中注册配置：

builder.Services.Configure<FrontendConfig>(builder.Configuration.GetSection("FrontendConfig"));

4. 在邮件服务类中注入配置并使用：

private readonly FrontendConfig _frontendConfig;

// 构造函数注入配置
public YourMailService(IOptions<FrontendConfig> frontendConfig)
{
    _frontendConfig = frontendConfig.Value;
}

private ReturnHandler SendResetPasswordMail(string email, string ott)
{
    ReturnHandler result = new ReturnHandler();
    List<string> emails = new List<string>();
    emails.Add(email);
    string subject = "Promjena lozinke";
    
    string link = $"{_frontendConfig.ResetPasswordBaseUrl}?token={ott}";
    
    string[] parameters = { subject, "link za promjenu lozinke:", link};
    // 后续邮件发送逻辑...
    return result;
}

方法3：结合请求上下文与配置路径 #

如果前端路径固定仅主机需动态获取，可以把路径前缀存入配置，主机从请求上下文提取：

1. appsettings.json配置：

{
  "FrontendConfig": {
    "ResetPasswordPath": "/#/change-password"
  }
}

2. 代码拼接示例：

private ReturnHandler SendResetPasswordMail(string email, string ott, HttpContext httpContext, IOptions<FrontendConfig> frontendConfig)
{
    var scheme = httpContext.Request.Scheme;
    var host = httpContext.Request.Host.Value;
    string link = $"{scheme}://{host}{frontendConfig.Value.ResetPasswordPath}?token={ott}";
    // 其他逻辑...
}

注意事项 #

• 若API部署在反向代理（如Nginx、IIS反向代理）后，需在Program.cs中配置转发头，确保HttpContext.Request.Host能获取到正确的外部主机名：

app.UseForwardedHeaders(new ForwardedHeadersOptions
{
    ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto
});

• 生产环境建议强制使用HTTPS，确保协议提取准确，避免生成不安全的HTTP链接。

内容的提问来源于stack exchange，提问作者Hrvoje