如何防护Blazor ServerSide应用遭受JS恶意调用及静态文件暴露风险

针对JS恶意循环调用服务端C#方法的问题 #

• 核心原则是永远不要信任客户端侧的任何逻辑和请求，JS混淆仅能提高攻击者篡改门槛，无法从根本上解决问题，核心防护要放在服务端：
  • 给暴露给JS调用的C#方法增加限流规则：可针对SignalR连接、客户端IP或者登录用户维度做频率限制，比如同一个连接1秒内最多调用目标方法3~5次，超出阈值直接拒绝请求甚至断开异常连接。
  • 补充方法调用的身份鉴权：所有非公开的调用接口都要增加身份校验，未授权请求直接拦截，异常调用频率过高的账号可临时拉黑。
  • 对方法执行做资源管控：可通过信号量限制目标方法的并发执行数量，同时给方法内部逻辑增加超时机制，避免单请求长时间占用CPU资源。
  • 发布阶段对静态JS做混淆压缩作为辅助防护：可使用Vite、Webpack的JS混淆插件，或者.NET生态的构建扩展工具，发布时自动处理JS文件，提高逆向和篡改成本。

针对./_content目录静态文件公开泄露依赖栈的问题 #

• 可从访问控制、依赖隐藏、漏洞修复三个层面处理：
  • 修改静态文件服务配置：给_content目录增加访问授权规则，仅允许已登录的合法用户访问该路径下的文件，未授权访问直接返回403。
  • 隐藏依赖库特征：发布阶段将第三方依赖的JS/CSS文件打包合并到主应用的bundle文件中，避免暴露单独的依赖库文件，同时可给所有静态资源URL增加随机版本哈希后缀，攻击者无法通过固定路径遍历获取依赖信息。
  • 定期做依赖漏洞扫描：使用dotnet list package --vulnerable命令定期扫描项目依赖的公开漏洞，第一时间更新存在安全风险的依赖包，从根源上消除漏洞利用可能性。

内容的提问来源于stack exchange，提问作者mwrochna