Kestrel Server：如何为不同控制器绑定不同端口及配置双端口认证？

当然可以实现这个需求！我们可以通过配置Kestrel多端点 + 区分认证策略 + 路由/控制器约束这几个步骤来完成，正好匹配你说的终端用户（JWT认证）和机器代理（客户端证书认证）的场景。

下面一步步来拆解实现：

1. 配置Kestrel监听两个端口 #

首先得让Kestrel同时监听80和81端口，并且为81端口开启客户端证书强制要求。你可以通过配置文件或代码两种方式实现：

方式1：通过appsettings.json配置 #

{
  "Kestrel": {
    "Endpoints": {
      "UserEndpoint": {
        "Url": "http://localhost:80"
      },
      "ProxyEndpoint": {
        "Url": "https://localhost:81",
        "ClientCertificateMode": "RequireCertificate"
      }
    }
  }
}

注意81端口使用HTTPS（客户端证书认证通常基于HTTPS），并设置ClientCertificateMode为RequireCertificate，强制客户端提供有效证书。

方式2：通过Program.cs代码配置 #

如果是调试或需要硬编码场景，可以直接在代码里定义端点：

builder.WebHost.ConfigureKestrel(serverOptions =>
{
    // 终端用户端口：80
    serverOptions.ListenAnyIP(80);
    // 机器代理端口：81，强制要求客户端证书
    serverOptions.ListenAnyIP(81, listenOptions =>
    {
        listenOptions.UseHttps();
        listenOptions.ClientCertificateMode = ClientCertificateMode.RequireCertificate;
    });
});

2. 注册两种认证方案 #

接下来为两种场景注册对应的认证服务：JWT（终端用户）和客户端证书（机器代理）。在Program.cs中添加：

// 注册JWT认证
builder.Services.AddAuthentication()
    .AddJwtBearer(JwtBearerDefaults.AuthenticationScheme, options =>
    {
        // 配置JWT验证核心参数，根据你的实际环境调整
        options.TokenValidationParameters = new TokenValidationParameters
        {
            ValidateIssuer = true,
            ValidIssuer = builder.Configuration["Jwt:Issuer"],
            ValidateAudience = true,
            ValidAudience = builder.Configuration["Jwt:Audience"],
            ValidateLifetime = true,
            IssuerSigningKey = new SymmetricSecurityKey(Encoding.UTF8.GetBytes(builder.Configuration["Jwt:Key"]))
        };
    })
    // 注册客户端证书认证
    .AddCertificate(CertificateAuthenticationDefaults.AuthenticationScheme, options =>
    {
        options.AllowedCertificateTypes = CertificateTypes.All;
        // 自定义证书验证逻辑：比如检查证书颁发者是否为你的可信CA
        options.Validator = (certificate, chain, context) =>
        {
            return certificate.IssuerName.Name.Equals("Your-Trusted-CA-Name");
        };
    });

3. 定义专属授权策略 #

为了让不同端口的请求自动匹配对应的认证方案，我们需要定义两个授权策略，分别绑定JWT和客户端证书：

builder.Services.AddAuthorization(options =>
{
    // 终端用户策略：仅允许JWT认证的请求访问
    options.AddPolicy("UserJwtPolicy", policy =>
    {
        policy.RequireAuthenticatedUser();
        policy.AddAuthenticationSchemes(JwtBearerDefaults.AuthenticationScheme);
    });

    // 机器代理策略：仅允许客户端证书认证的请求访问
    options.AddPolicy("ProxyCertPolicy", policy =>
    {
        policy.RequireAuthenticatedUser();
        policy.AddAuthenticationSchemes(CertificateAuthenticationDefaults.AuthenticationScheme);
    });
});

4. 绑定端口、控制器与授权策略 #

有两种灵活的方式可以完成端口与控制器的绑定：

方式1：通过端点路由元数据约束 #

在Program.cs的端点配置中，为不同端口指定对应的控制器路由和授权策略：

app.UseRouting();

app.UseAuthentication();
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    // 端口80：映射终端用户控制器，应用JWT策略
    endpoints.MapControllerRoute(
        name: "userRoute",
        pattern: "api/user/{action}",
        defaults: new { controller = "User" }
    ).RequireAuthorization("UserJwtPolicy")
     .WithMetadata(new HostMetadata("localhost:80"));

    // 端口81：映射机器代理控制器，应用客户端证书策略
    endpoints.MapControllerRoute(
        name: "proxyRoute",
        pattern: "api/proxy/{action}",
        defaults: new { controller = "Proxy" }
    ).RequireAuthorization("ProxyCertPolicy")
     .WithMetadata(new HostMetadata("localhost:81"));
});

方式2：直接在控制器上添加约束 #

如果你更习惯在控制器层面配置，可以给控制器加上[Host]属性指定允许的端口，再用[Authorize]绑定对应策略：

// 终端用户控制器：仅接受80端口的JWT认证请求
[ApiController]
[Route("api/user")]
[Authorize(Policy = "UserJwtPolicy")]
[Host("localhost:80")]
public class UserController : ControllerBase
{
    [HttpGet("profile")]
    public IActionResult GetUserProfile()
    {
        // 处理终端用户请求逻辑
        return Ok(new { Username = User.Identity.Name });
    }
}

// 机器代理控制器：仅接受81端口的客户端证书认证请求
[ApiController]
[Route("api/proxy")]
[Authorize(Policy = "ProxyCertPolicy")]
[Host("localhost:81")]
public class ProxyController : ControllerBase
{
    [HttpPost("data")]
    public IActionResult ReceiveProxyData([FromBody] ProxyData data)
    {
        // 处理机器代理请求逻辑
        return Ok(new { Status = "Received", Data = data });
    }
}

注意事项 #

• 生产环境中请替换localhost为实际域名/IP，避免使用本地测试配置。
• 客户端证书认证需要确保服务器信任客户端证书的颁发机构，可以在Kestrel配置中指定受信任的CA证书路径。
• 如果需要更灵活的端口判断逻辑，也可以通过中间件读取context.Connection.LocalPort动态切换认证方案，但上述策略绑定的方式更清晰易维护。

内容的提问来源于stack exchange，提问作者schauhan