Owin Web应用中如何通过Cookie Authentication保护静态文件并排除指定资源？

针对你的OWIN遗留项目需求，核心是通过调整中间件顺序+自定义授权检查，实现静态文件的Cookie认证保护，同时放行指定例外文件，具体实现如下：

实现步骤 #

1. 确认Cookie认证中间件已正确注册 #

确保你的Startup.Configuration方法中已经配置了Cookie认证，且它的注册顺序在所有需要认证的中间件之前：

app.UseCookieAuthentication(new CookieAuthenticationOptions
{
    AuthenticationType = DefaultAuthenticationTypes.ApplicationCookie,
    LoginPath = new PathString("/login"),
    // 保留你已有的其他配置（比如过期时间、SlidingExpiration等）
});

2. 添加自定义授权检查中间件 #

在静态文件中间件之前，添加一个自定义中间件，用于判断静态文件请求是否需要认证：

// 定义无需认证的静态文件列表（按需添加）
var allowedUnprotectedFiles = new HashSet<string>(StringComparer.OrdinalIgnoreCase)
{
    "/login.html",
    "/favicon.ico",
    "/css/login-styles.css",
    "/js/login-script.js"
};

// 自定义中间件：拦截静态文件请求并做认证检查
app.Use(async (context, next) =>
{
    var requestPath = context.Request.Path.Value;
    
    // 判定是否为需要检查的静态文件请求
    bool isStaticFileRequest = !string.IsNullOrEmpty(requestPath)
                               && requestPath.StartsWith("/")
                               // 排除已有的API和登录/登出路由
                               && !requestPath.StartsWith("/secret", StringComparison.OrdinalIgnoreCase)
                               && !requestPath.StartsWith("/login", StringComparison.OrdinalIgnoreCase)
                               && !requestPath.StartsWith("/logout", StringComparison.OrdinalIgnoreCase);

    if (isStaticFileRequest)
    {
        // 检查是否在例外列表中
        if (!allowedUnprotectedFiles.Contains(requestPath))
        {
            // 验证用户身份
            if (!context.Authentication.User.Identity.IsAuthenticated)
            {
                // 返回401未授权（不执行重定向，符合需求）
                context.Response.StatusCode = 401;
                return; // 终止管道，不返回静态文件
            }
        }
    }

    // 放行到后续中间件（比如静态文件服务）
    await next();
});

3. 注册静态文件服务中间件 #

最后注册静态文件服务，确保它在自定义授权中间件之后：

app.UseFileServer(new FileServerOptions
{
    RequestPath = PathString.Empty, // 映射根路径到wwwroot
    FileSystem = new PhysicalFileSystem(@"wwwroot"),
    EnableDirectoryBrowsing = false // 根据你的需求设置是否启用目录浏览
});

关键说明 #

• 中间件顺序：OWIN中间件按注册顺序执行，必须保证Cookie认证→授权检查→静态文件服务的顺序，否则认证逻辑不会生效。
• 例外文件处理：用HashSet存储例外路径并忽略大小写，避免因路径大小写差异导致的错误。
• 401返回逻辑：手动返回401而非依赖Cookie认证的重定向，完全符合你要求的未认证请求返回401的需求。
• 路径排除：明确排除已有的API和登录/登出路由，避免和现有业务逻辑冲突。

测试注意事项 #

• 测试前清空浏览器缓存，避免静态文件缓存干扰认证检查。
• 验证例外文件（如login.html）是否可以直接访问，其他静态文件是否在未携带Cookie时返回401。

内容的提问来源于stack exchange，提问作者bluearth