ASP.NET Core基于IP地址实现内外网差异化身份验证方案咨询

原有伪代码不生效的核心原因是ConfigureServices属于应用启动阶段执行的方法，此时还没有任何用户请求进入，无法获取当前请求的HttpContext对象，因此不能在服务注册阶段做基于请求的IP判断。正确的做法是先完整注册JWT认证服务，在请求处理管道中基于当前请求的IP做动态判断。

第一步：统一注册认证服务 #

先在ConfigureServices中完整注册JWT认证相关服务，不需要做IP判断：

public void ConfigureServices(IServiceCollection services)
{
    services.AddRazorPages();
    // 完整注册JWT认证服务
    services.AddAuthentication(options =>
    {
        options.DefaultScheme = JwtBearerDefaults.AuthenticationScheme;
    })
    .AddJwtBearer(options =>
    {
        options.Authority = "https://Issuer.localdomain.local";
        options.Audience = "TestAudience";
        // 可按需添加其他JWT配置，比如证书校验规则、令牌有效期校验等
    });
    services.AddAuthorization();
}

可选实现方案 #

方案1：自定义中间件实现（逻辑简单，适合全站统一规则） #

在认证中间件之前插入自定义IP判断中间件，内部IP的请求直接设置已认证身份，跳过后续JWT校验：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 前置中间件：异常处理、静态文件、跨域等按原有逻辑保留

    // 自定义IP判断中间件，必须放在UseAuthentication之前执行
    app.Use(async (context, next) =>
    {
        // 内部IP白名单，建议从配置文件读取，此处仅为示例
        var internalIpWhitelist = new List<string> { "192.168.1.1", "::1" /* 本地调试IPv6环回地址 */ };
        var requestIp = context.Connection.RemoteIpAddress?.ToString();
        
        // 匹配到内部IP，直接设置已认证身份
        if (!string.IsNullOrEmpty(requestIp) && internalIpWhitelist.Contains(requestIp))
        {
            var claims = new List<Claim>
            {
                new Claim(ClaimTypes.NameIdentifier, "InternalSystemClient"),
                new Claim(ClaimTypes.Role, "InternalService")
            };
            var identity = new ClaimsIdentity(claims, "InternalIpAuthentication");
            context.User = new ClaimsPrincipal(identity);
        }
        await next();
    });

    // 原有认证、授权中间件正常保留
    app.UseAuthentication();
    app.UseAuthorization();

    app.MapRazorPages();
    // 其他端点配置按原有逻辑保留
}

方案2：自定义授权策略（更规范，适合细粒度权限控制） #

如果需要针对不同接口做差异化控制，可以自定义授权策略实现逻辑：

1. 定义授权要求和处理器

// 自定义授权要求
public class InternalOrAuthenticatedRequirement : IAuthorizationRequirement { }

// 授权处理器
public class InternalOrAuthenticatedHandler : AuthorizationHandler<InternalOrAuthenticatedRequirement>
{
    private readonly IConfiguration _configuration;
    public InternalOrAuthenticatedHandler(IConfiguration configuration)
    {
        _configuration = configuration;
    }

    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, InternalOrAuthenticatedRequirement requirement)
    {
        if (context.Resource is HttpContext httpContext)
        {
            // 从配置文件读取内部IP白名单
            var internalIps = _configuration.GetSection("Security:InternalIpWhitelist").Get<List<string>>() ?? new List<string>();
            var requestIp = httpContext.Connection.RemoteIpAddress?.ToString();
            // 内部IP直接通过授权
            if (!string.IsNullOrEmpty(requestIp) && internalIps.Contains(requestIp))
            {
                context.Succeed(requirement);
                return Task.CompletedTask;
            }
            // 外部IP需要已通过JWT认证
            if (context.User.Identity?.IsAuthenticated == true)
            {
                context.Succeed(requirement);
                return Task.CompletedTask;
            }
        }
        context.Fail();
        return Task.CompletedTask;
    }
}

2. 在ConfigureServices中注册策略和处理器

services.AddAuthorization(options =>
{
    options.AddPolicy("InternalOrAuthenticated", policy =>
    {
        policy.Requirements.Add(new InternalOrAuthenticatedRequirement());
    });
});
services.AddScoped<IAuthorizationHandler, InternalOrAuthenticatedHandler>();

3. 给需要生效的接口/控制器加上特性即可：

[Authorize(Policy = "InternalOrAuthenticated")]
public class YourApiController : ControllerBase
{
    // 接口实现
}

如果需要全站生效，可以配置为全局授权过滤器。

注意事项 #

• IP白名单建议配置在appsettings.json中，不要硬编码在业务代码里，方便后续调整
• 如果服务前有Nginx、CDN等反向代理服务，需要提前注册UseForwardedHeaders中间件，才能正确获取真实客户端IP，避免拿到的是代理服务器的IP
• 若内部地址是网段范围，可通过IPAddress类的网段匹配方法做判断，无需逐个枚举单个IP

内容的提问来源于stack exchange，提问作者Mekroebo