如何在ASP.NET Core控制器中通过FileProvider提供页面并鉴权

我来帮你梳理下怎么解决这个问题——核心就是让页面请求先经过控制器做权限校验，再通过IFileProvider返回文件，同时把API和页面请求的管道分开处理。咱们一步步来：

1. 调整请求管道，让页面请求走控制器而非直接开放静态文件 #

你原来的MapWhen里直接用了UseDefaultFiles和UseStaticFiles，这会导致/pages下的请求直接绕过MVC控制器，直接返回静态文件，所以你的权限校验根本没生效。咱们把管道分成两支：

修改Startup.cs的Configure方法：

public void Configure(IApplicationBuilder app)
{
    // 分支1：处理非/pages的API请求，直接走MVC
    app.MapWhen(x => !x.Request.Path.Value.StartsWith("/pages"), x =>
    {
        x.UseMvc();
    });

    // 分支2：处理/pages的页面请求，先经过MVC控制器做校验
    app.MapWhen(x => x.Request.Path.Value.StartsWith("/pages"), x =>
    {
        x.UseMvc(); // 让请求先进入控制器，由控制器处理文件返回
    });
}

这样一来，所有/pages开头的请求都会先进入MVC路由匹配，触发你的PageController里的Action，先做权限校验。

2. 注册并注入IFileProvider到控制器 #

不要在控制器里每次手动new PhysicalFileProvider，最好通过依赖注入来管理，这样更灵活也符合ASP.NET Core的设计思想。

首先在Startup.cs的ConfigureServices里注册：

public void ConfigureServices(IServiceCollection services)
{
    // 注册PhysicalFileProvider，替换成你的实际静态文件路径
    services.AddSingleton<IFileProvider>(new PhysicalFileProvider(@"C:\YourStaticFilesPath"));
    
    services.AddMvc();
}

然后在PageController里注入，用它来读取文件：

public class PageController : Controller
{
    private readonly IFileProvider _fileProvider;

    // 构造函数注入IFileProvider
    public PageController(IFileProvider fileProvider)
    {
        _fileProvider = fileProvider;
    }

    [HttpGet]
    [Route("/pages/index.html")]
    public async Task<IActionResult> ServeIndexAsync()
    {
        // 第一步：执行你的权限校验逻辑
        bool isAuthorized = ValidateUserCredentials(); // 替换成你的实际校验逻辑，比如检查Token、Session等
        if (!isAuthorized)
        {
            return Unauthorized(); // 或者返回403、跳转到登录页，根据你的业务需求来
        }

        // 第二步：通过FileProvider获取目标文件
        var fileInfo = _fileProvider.GetFileInfo("index.html"); // 路径是相对于FileProvider根目录的
        if (!fileInfo.Exists)
        {
            return NotFound(); // 文件不存在返回404
        }

        // 第三步：返回文件，指定正确的ContentType
        return PhysicalFile(fileInfo.PhysicalPath, "text/html");
    }

    [HttpGet]
    [Route("/pages/data.html")]
    public async Task<IActionResult> ServeDataAsync()
    {
        // 重复权限校验逻辑（可以抽成私有方法复用）
        bool isAuthorized = ValidateUserCredentials();
        if (!isAuthorized)
        {
            return Unauthorized();
        }

        var fileInfo = _fileProvider.GetFileInfo("data.html");
        if (!fileInfo.Exists)
        {
            return NotFound();
        }

        return PhysicalFile(fileInfo.PhysicalPath, "text/html");
    }

    // 抽出来的权限校验方法，复用代码
    private bool ValidateUserCredentials()
    {
        // 示例：检查用户是否已登录
        return User.Identity.IsAuthenticated;
        // 你可以换成更复杂的逻辑，比如检查请求头里的Token、自定义权限等
    }
}

3. 关于控制器返回类型的选择 #

你问的“返回文件该用什么返回类型”——不要直接用File类，应该返回IActionResult的具体实现：

• 用PhysicalFileResult（通过PhysicalFile()方法返回）：适合你的物理文件场景，直接指定文件物理路径和ContentType
• 如果需要读取文件流返回，用FileStreamResult
• 如果是字节数组，用FileContentResult
  用IActionResult作为返回类型的好处是，你可以根据不同场景返回Unauthorized、NotFound、File等不同结果，灵活性更高。

4. 优化：批量处理/pages下的所有页面（可选） #

如果你的/pages下有很多.html文件，不想每个都写单独的Action，可以用通配符路由，同时注意路径遍历攻击防护（非常重要，防止攻击者访问静态文件目录外的文件）：

[HttpGet]
[Route("/pages/{fileName}.html")]
public async Task<IActionResult> ServePageAsync(string fileName)
{
    // 权限校验
    bool isAuthorized = ValidateUserCredentials();
    if (!isAuthorized)
    {
        return Unauthorized();
    }

    // 关键：防止路径遍历攻击，只保留文件名部分
    var safeFileName = Path.GetFileName($"{fileName}.html");
    var fileInfo = _fileProvider.GetFileInfo(safeFileName);
    if (!fileInfo.Exists)
    {
        return NotFound();
    }

    return PhysicalFile(fileInfo.PhysicalPath, "text/html");
}

这样不管是/pages/index.html还是/pages/data.html，都会匹配这个Action，不用再写多个方法。

5. 确认API请求正常工作 #

你的NormalController里的/get-data路由属于非/pages的请求，会走第一支管道，正常返回JSON，不需要做任何修改，完全不受页面请求管道的影响。

内容的提问来源于stack exchange，提问作者Bercovici Adrian