.NET Core 3 SPA中如何豁免wwwroot外静态资产的授权校验

下面是.NET Core 3.1环境下无需将SPA移入wwwroot即可配置非wwwroot目录静态资源公开访问的两种可行方案：

方案1：前置静态文件中间件（推荐） #

利用ASP.NET Core中间件的执行顺序特性，将自定义的静态文件中间件放在授权中间件之前执行，请求匹配到静态资源后直接返回，不会触发后续的全局授权校验。

1. 在Startup.cs的Configure方法中，按如下顺序配置中间件：

using Microsoft.Extensions.FileProviders;

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 1. 先注册ClientApp/build目录的静态文件中间件，放在授权逻辑之前
    app.UseStaticFiles(new StaticFileOptions
    {
        FileProvider = new PhysicalFileProvider(
            Path.Combine(env.ContentRootPath, "ClientApp", "build")),
        // 可自定义对外暴露的请求前缀，设为空字符串则直接从根路径访问SPA资源
        RequestPath = "",
        OnPrepareResponse = ctx =>
        {
            // 可选：配置静态资源缓存策略
            ctx.Context.Response.Headers["Cache-Control"] = "public, max-age=31536000";
        }
    });

    // 2. 保留原有wwwroot目录的静态文件中间件
    app.UseStaticFiles();

    app.UseRouting();

    app.UseAuthentication();
    // 静态文件请求已经在前面处理完毕，不会走到此处的授权校验
    app.UseAuthorization();

    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllers();
        // SPA回退路由配置
        endpoints.MapFallbackToFile("index.html", new StaticFileOptions
        {
            FileProvider = new PhysicalFileProvider(Path.Combine(env.ContentRootPath, "ClientApp", "build"))
        });
    });
}

方案2：授权策略添加路径豁免 #

如果需要将静态文件中间件放在授权逻辑之后，可直接修改全局兜底授权策略，豁免SPA静态资源路径的校验：

1. 先引入命名空间Microsoft.AspNetCore.Authorization
2. 修改ConfigureServices中的授权配置：

services.AddAuthorization(opts =>
{
    opts.FallbackPolicy = new AuthorizationPolicyBuilder()
        .RequireAuthenticatedUser()
        // 豁免所有匹配SPA静态资源路径的请求
        .AddRequirements(new AssertionRequirement(context =>
        {
            var requestContext = context.Resource as HttpContext;
            if (requestContext == null) return true;
            // 匹配SPA资源路径或常用静态资源后缀的请求直接放行
            return !requestContext.Request.Path.StartsWithSegments("/ClientApp/build")
                && !new[] { ".js", ".css", ".html", ".png", ".jpg", ".ico", ".svg" }
                    .Any(ext => requestContext.Request.Path.Value.EndsWith(ext, StringComparison.OrdinalIgnoreCase));
        }))
        .Build();
});

注意事项 #

• 中间件顺序是配置生效的核心，如果采用方案1必须确保静态文件中间件注册在UseAuthorization之前
• 无需修改IWebHostEnvironment.WebRootFileProvider的默认值，不需要迁移SPA项目到wwwroot目录
• SPA的回退路由如果配置在授权中间件之后，需要给回退端点添加AllowAnonymousAttribute元数据，避免刷新页面出现401错误

内容的提问来源于stack exchange，提问作者broccoli_rob