ASP.NET Core 6 Web API如何仅对指定静态文件目录做身份验证保护

要实现仅保护files/users子目录，同时开放files下其他目录的访问，可通过以下两种方式实现：

方法一：基于路径拦截的授权验证（推荐） #

这种方式无需拆分静态文件配置，仅通过中间件针对特定路径做授权校验：

1. 保留原有静态文件配置
   继续使用你已配置的全局静态文件托管：

   app.UseStaticFiles(new StaticFileOptions
   {
       FileProvider = new PhysicalFileProvider(Path.Combine(builder.Environment.ContentRootPath, "files")),
       RequestPath = "/files",
   });
   

2. 配置授权服务（不设置全局回退策略）
   移除全局FallbackPolicy，仅注册基础授权服务：

   builder.Services.AddAuthorization();
   

3. 添加路径拦截的授权中间件
   在UseStaticFiles之后，添加UseWhen中间件，仅对/files/users开头的请求触发授权验证：

   // 确保已添加身份验证中间件（必须在授权中间件之前）
   app.UseAuthentication();
   
   // 拦截/files/users路径的请求，强制验证身份
   app.UseWhen(context => context.Request.Path.StartsWithSegments("/files/users"), appBuilder =>
   {
       appBuilder.UseAuthorization();
       // 处理未授权请求
       appBuilder.Run(async context =>
       {
           context.Response.StatusCode = StatusCodes.Status401Unauthorized;
           await context.Response.WriteAsync("未授权访问该资源");
       });
   });
   

方法二：拆分静态文件端点配置 #

将受保护的users子目录单独配置为一个静态文件端点，并绑定授权策略：

1. 配置无需授权的静态文件（排除users子目录）
   主files目录的配置中，拦截指向users的请求，交由后续配置处理：

   app.UseStaticFiles(new StaticFileOptions
   {
       FileProvider = new PhysicalFileProvider(Path.Combine(builder.Environment.ContentRootPath, "files")),
       RequestPath = "/files",
       OnPrepareResponse = ctx =>
       {
           if (ctx.Context.Request.Path.StartsWithSegments("/files/users"))
           {
               ctx.Context.Response.StatusCode = StatusCodes.Status404NotFound;
               ctx.Context.Response.ContentLength = 0;
               ctx.Context.Response.Body = Stream.Null;
           }
       }
   });
   

2. 注册授权策略
   定义一个要求登录用户的授权策略：

   builder.Services.AddAuthorization(options =>
   {
       options.AddPolicy("RequireLoggedIn", policy =>
           policy.RequireAuthenticatedUser());
   });
   

3. 配置受保护的users子目录静态文件
   单独配置files/users的静态文件托管，并应用授权策略：

   app.UseStaticFiles(new StaticFileOptions
   {
       FileProvider = new PhysicalFileProvider(Path.Combine(builder.Environment.ContentRootPath, "files", "users")),
       RequestPath = "/files/users",
   });
   
   // 对该路径应用授权验证
   app.MapWhen(context => context.Request.Path.StartsWithSegments("/files/users"), appBuilder =>
   {
       appBuilder.UseAuthentication();
       appBuilder.UseAuthorization();
       appBuilder.Run(async context =>
       {
           if (!context.User.Identity.IsAuthenticated)
           {
               context.Response.StatusCode = StatusCodes.Status401Unauthorized;
               await context.Response.WriteAsync("未授权访问该资源");
               return;
           }
           await context.Next();
       });
   });
   

关键注意事项 #

• 中间件顺序必须正确：UseAuthentication必须在UseAuthorization之前调用，否则授权验证无法获取用户身份信息。
• 方法一逻辑更简洁，适合大多数场景；方法二适合需要对受保护目录做特殊静态文件配置的场景。

内容的提问来源于stack exchange，提问作者Marcelo Antunes Fernandes