ASP.NET MVC如何区分用户访问网络并实现访问权限控制？

首先明确：完全可以判断用户是从公司局域网还是公网访问你的ASP.NET MVC应用，而且不需要存储用户的IP地址——因为我们只需要实时判断当前请求的客户端IP归属，结合用户的权限配置就能实现你的需求。下面是一步步的具体实现：

1. 先搞定「获取真实客户端IP」 #

如果你的应用部署在反向代理、负载均衡后面，直接用Request.UserHostAddress可能拿到的是代理服务器的IP，而不是用户的真实IP。所以先写一个工具方法来获取真实IP：

private string GetRealClientIp(HttpRequestBase request)
{
    // 优先读取代理传递的真实IP头（比如Nginx/IIS ARR会设置这个）
    var ip = request.ServerVariables["HTTP_X_FORWARDED_FOR"];
    
    if (string.IsNullOrWhiteSpace(ip))
    {
        // 没有代理的话，直接拿请求的客户端IP
        ip = request.UserHostAddress;
    }
    else
    {
        // X-Forwarded-For可能包含多个IP（比如多层代理），取第一个就是真实客户端IP
        ip = ip.Split(',')[0].Trim();
    }
    
    // 处理本地测试的IPv6环回地址，转成IPv4的本地地址方便判断
    if (ip.Equals("::1", StringComparison.OrdinalIgnoreCase))
    {
        ip = "127.0.0.1";
    }
    
    return ip;
}

2. 判断IP是否属于公司局域网 #

你需要和公司IT部门确认所有内网IP范围，比如常见的私有IP段（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16），还有VPN分配的IP段、公司公网出口IP（如果员工通过VPN访问时会走这个出口）。然后写一个方法来校验IP是否在这些范围内：

private bool IsInternalNetwork(string clientIp)
{
    // 建议把这些IP段存在Web.config或者数据库里，方便后续修改
    var internalIpRanges = new List<string>
    {
        "10.0.0.0/8",       // 公司内网常用段1
        "192.168.1.0/24",   // 公司办公室内网段（示例）
        "203.0.113.10/32"   // 公司公网出口IP（示例）
    };
    
    var ip = IPAddress.Parse(clientIp);
    foreach (var range in internalIpRanges)
    {
        if (IsIpInCidrRange(ip, range))
        {
            return true;
        }
    }
    return false;
}

// 辅助方法：校验IP是否在指定CIDR网段内
private bool IsIpInCidrRange(IPAddress ip, string cidrRange)
{
    var parts = cidrRange.Split('/');
    var networkIp = IPAddress.Parse(parts[0]);
    var prefixLength = int.Parse(parts[1]);

    var ipBytes = ip.GetAddressBytes();
    var networkBytes = networkIp.GetAddressBytes();

    // 先处理IPv4的情况，IPv6可以后续扩展
    if (ipBytes.Length != 4 || networkBytes.Length != 4)
    {
        return false;
    }

    // 生成子网掩码
    var mask = new byte[4];
    for (int i = 0; i < 4; i++)
    {
        int bits = Math.Min(8, prefixLength);
        mask[i] = (byte)(0xFF << (8 - bits));
        prefixLength -= bits;
        if (prefixLength <= 0) break;
    }

    // 对比IP和网段的掩码结果
    for (int i = 0; i < 4; i++)
    {
        if ((ipBytes[i] & mask[i]) != (networkBytes[i] & mask[i]))
        {
            return false;
        }
    }
    return true;
}

3. 结合用户权限做访问控制 #

你的需求是两类用户：

• A类用户（10-100人）：允许内网+公网访问
• B类用户（5-500人）：仅允许内网访问

我们可以用Action过滤器来统一处理这个逻辑，避免在每个Controller里重复写代码：

public class NetworkAccessControlFilter : ActionFilterAttribute
{
    public override void OnActionExecuting(ActionExecutingContext filterContext)
    {
        var currentUser = filterContext.HttpContext.User;
        
        // 未登录用户直接跳转到登录页
        if (!currentUser.Identity.IsAuthenticated)
        {
            filterContext.Result = new RedirectResult("~/Account/Login");
            return;
        }

        // 判断当前用户是否属于允许公网访问的A类用户
        // 这里可以用角色、用户组或者数据库标记，比如给A类用户加个"AllowPublicAccess"角色
        bool isAllowPublicAccess = currentUser.IsInRole("AllowPublicAccess");
        
        // 获取当前请求的真实IP并判断是否在内网
        var clientIp = GetRealClientIp(filterContext.HttpContext.Request);
        bool isInternal = IsInternalNetwork(clientIp);

        // 核心控制逻辑：B类用户+公网访问 → 拒绝
        if (!isAllowPublicAccess && !isInternal)
        {
            filterContext.Result = new HttpStatusCodeResult(HttpStatusCode.Forbidden, "抱歉，您仅能通过公司局域网访问此应用");
        }

        base.OnActionExecuting(filterContext);
    }

    // 把上面的GetRealClientIp、IsInternalNetwork、IsIpInCidrRange方法移到这里或者单独的工具类
}

然后你可以：

• 在Global.asax里注册这个过滤器，让所有请求都受控制；
• 或者只在需要控制的Controller/Action上添加[NetworkAccessControlFilter]特性。

关键疑问解答 #

Q：需要存储每个用户的IP地址吗？ #

完全不需要。用户可能用不同设备、不同网络登录，我们只需要实时判断当前请求的客户端IP即可，不需要存储。你只需要存储用户的权限标记（比如是否属于A类用户），可以存在用户表的字段里，或者用ASP.NET的角色管理来实现。

Q：怎么确保判断准确？ #

• 一定要和IT部门确认所有内网IP范围，包括VPN、分支机构的内网段；
• 如果应用在代理后面，要确保代理服务器正确传递X-Forwarded-For头，否则会拿到代理IP导致误判；
• 测试时用不同网络验证：公司内网、家里WiFi、手机流量，确保逻辑正确。

内容的提问来源于stack exchange，提问作者Pooja Trivedi