ASP.NET MVC如何仅开放指定路由，屏蔽其余所有路由？

针对你这个基于ASP.NET MVC的应用场景——采购而来、已有数百页面/控制器、支持动态插件且后续会扩容，现在要仅开放你们修改过的页面，拦截未开放路由——我整理了几个实用的落地方案，你可以根据自身情况选择：

1. 全局路由白名单拦截 #

这是最直接的方案，适合你这种开放页面远少于未开放页面的场景。核心思路是通过全局ActionFilter，维护一个允许访问的路由/控制器/Action白名单，所有请求先经过过滤器校验，不在白名单内的直接拒绝。

实现步骤： #

• 自定义一个全局过滤器：

public class RouteWhitelistFilter : IAuthorizationFilter
{
    private readonly IConfiguration _configuration;

    public RouteWhitelistFilter(IConfiguration configuration)
    {
        _configuration = configuration;
    }

    public void OnAuthorization(AuthorizationFilterContext context)
    {
        // 从配置文件读取白名单，格式为控制器/Action的组合
        var allowedRoutes = _configuration.GetSection("AllowedRoutes").Get<string[]>() ?? Array.Empty<string>();
        var currentRoute = $"{context.RouteData.Values["controller"]}/{context.RouteData.Values["action"]}";

        // 校验当前路由，不在白名单则返回403
        if (!allowedRoutes.Contains(currentRoute, StringComparer.OrdinalIgnoreCase))
        {
            context.Result = new StatusCodeResult(StatusCodes.Status403Forbidden);
        }
    }
}

• 在FilterConfig或Startup中注册全局过滤器：

// ASP.NET MVC 传统方式
public static void RegisterGlobalFilters(GlobalFilterCollection filters)
{
    filters.Add(new RouteWhitelistFilter(ConfigurationManager.AppSettings));
}

// ASP.NET Core 方式
services.AddMvc(options => options.Filters.Add<RouteWhitelistFilter>());

• 在配置文件中维护白名单：

{
  "AllowedRoutes": [
    "Home/Index",
    "User/Profile",
    "Order/Checkout"
  ]
}

优点：全局生效，配置灵活，无需逐个修改控制器；动态插件加载时，可自动将需要开放的路由追加到白名单。
缺点：白名单条目过多时维护成本上升，适合开放页面数量较少的场景。

2. 控制器/Action级别的特性标记 #

如果你们能明确列出所有修改过的页面，这个方案更清晰——给每个允许访问的控制器或Action打上自定义特性，全局过滤器只放行带有该特性的请求。

实现步骤： #

• 定义一个自定义特性：

[AttributeUsage(AttributeTargets.Class | AttributeTargets.Method)]
public class AllowAccessAttribute : Attribute
{
}

• 修改全局过滤器，检查请求的控制器/Action是否带有该特性：

public class AccessControlFilter : IAuthorizationFilter
{
    public void OnAuthorization(AuthorizationFilterContext context)
    {
        var controllerHasAttr = context.ActionDescriptor.ControllerDescriptor
            .GetCustomAttributes(typeof(AllowAccessAttribute), true).Any();
        var actionHasAttr = context.ActionDescriptor
            .GetCustomAttributes(typeof(AllowAccessAttribute), true).Any();

        if (!controllerHasAttr && !actionHasAttr)
        {
            context.Result = new StatusCodeResult(StatusCodes.Status403Forbidden);
        }
    }
}

• 给修改过的控制器/Action加上特性：

// 整个控制器开放
[AllowAccess]
public class HomeController : Controller
{
    public ActionResult Index() => View();
}

// 仅单个Action开放
public class OrderController : Controller
{
    [AllowAccess]
    public ActionResult Checkout() => View();

    // 此Action无特性，会被拦截
    public ActionResult History() => View();
}

优点：粒度精准，标记清晰，后续维护时能一眼识别开放页面；动态插件只需在对应控制器/Action上添加特性即可。
缺点：需要逐个给修改页面添加特性，适合已梳理好所有修改内容的场景。

3. 路由表精准注册 #

从根源上解决问题——清空原应用的路由表，只注册你们需要开放的路由，未注册的路由自然无法被访问。

实现步骤： #

• 在RouteConfig.cs中先清空原有路由，再逐个注册允许的路由：

public class RouteConfig
{
    public static void RegisterRoutes(RouteCollection routes)
    {
        routes.IgnoreRoute("{resource}.axd/{*pathInfo}");

        // 清空原有路由（移除原应用的默认路由注册）
        routes.Clear();

        // 只注册需要开放的路由
        routes.MapRoute(
            name: "HomeIndex",
            url: "home/index",
            defaults: new { controller = "Home", action = "Index" }
        );

        routes.MapRoute(
            name: "UserProfile",
            url: "user/profile",
            defaults: new { controller = "User", action = "Profile" }
        );

        // 动态插件的路由，在插件加载时单独注册
    }
}

优点：最彻底的拦截方式，未注册的路由不会被MVC识别；适合路由结构不复杂、能精准列出开放路由的场景。
缺点：原应用路由数量多时，梳理和注册成本较高；后续新增修改页面需同步更新路由注册代码。

4. 结合权限系统的角色控制 #

如果你们已有用户权限体系，或打算搭建，可以用角色控制实现——创建专属角色（比如AllowedPageUser），仅给该角色分配访问修改页面的权限，其他页面默认拒绝。

实现步骤： #

• 在修改过的控制器/Action上添加[Authorize]特性并指定角色：

[Authorize(Roles = "AllowedPageUser")]
public class HomeController : Controller
{
    public ActionResult Index() => View();
}

• 在权限系统中，确保只有合法用户被分配AllowedPageUser角色；未分配该角色的用户访问时会被自动拦截（跳转登录页或返回403）。

优点：扩展性极强，适合后续应用规模扩大、权限需求复杂的场景；动态插件的权限可通过角色配置灵活控制。
缺点：依赖现成的权限系统，若之前未搭建需额外开发或集成。

额外注意事项 #

1. 全面测试：上线前用Postman、curl等工具遍历所有可能的路由，确保未开放路由都返回403；也可编写自动化测试覆盖核心路由。
2. 动态插件处理：插件加载时，务必只注册或放行你指定的路由，避免插件自带的未开放路由被用户访问。
3. 友好错误页：拦截后返回自定义403页面，告知用户该页面不可访问，提升体验。

内容的提问来源于stack exchange，提问作者Helpha