如何防止无下载权限用户获取ASP.NET中的MP3资源？

嘿，我完全懂你的困扰——前端的controlsList="nodownload"顶多是给普通用户加个视觉限制，稍微懂点技术的人一看源码就能拿到音频URL直接下载，根本拦不住。既然用的是ASP.NET，咱们得从后端层面把权限验证做扎实，给你几个靠谱的解决方案：

方案一：拦截MP3请求，验证用户权限 #

这个思路是在用户直接访问MP3文件时，先检查他们的权限，没有下载权限就返回403禁止访问。根据你用的是ASP.NET Core还是传统Framework，实现方式略有不同：

针对ASP.NET Core：用中间件拦截请求 #

创建一个自定义中间件，放在静态文件中间件之前，这样请求到静态文件前会先经过权限验证：

public class AudioAuthorizationMiddleware
{
    private readonly RequestDelegate _next;

    public AudioAuthorizationMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        // 检查当前请求是否指向MP3文件
        if (context.Request.Path.Value?.EndsWith(".mp3", StringComparison.OrdinalIgnoreCase) == true)
        {
            // 替换成你实际的权限判断逻辑，比如检查用户角色或自定义声明
            bool hasDownloadAccess = context.User.IsInRole("PlayAndDownload");
            
            if (!hasDownloadAccess)
            {
                context.Response.StatusCode = StatusCodes.Status403Forbidden;
                await context.Response.WriteAsync("你没有权限下载该音频文件");
                return;
            }
        }

        // 权限通过或不是MP3请求，继续往后处理
        await _next(context);
    }
}

// 在Program.cs中注册中间件（一定要放在UseStaticFiles之前！）
app.UseMiddleware<AudioAuthorizationMiddleware>();
app.UseStaticFiles();

针对传统ASP.NET Framework：用HttpModule #

如果是老版本的Framework，可以写一个HttpModule来拦截请求：

public class AudioAuthModule : IHttpModule
{
    public void Init(HttpApplication context)
    {
        context.BeginRequest += OnBeginRequest;
    }

    private void OnBeginRequest(object sender, EventArgs e)
    {
        var app = (HttpApplication)sender;
        var request = app.Context.Request;

        if (request.Path.EndsWith(".mp3", StringComparison.OrdinalIgnoreCase))
        {
            bool hasDownloadPermission = HttpContext.Current.User.IsInRole("PlayAndDownload");
            
            if (!hasDownloadPermission)
            {
                app.Context.Response.StatusCode = 403;
                app.Context.Response.End();
                return;
            }
        }
    }

    public void Dispose() { }
}

// 在web.config中注册模块
<system.webServer>
  <modules>
    <add name="AudioAuthModule" type="YourProjectNamespace.AudioAuthModule" />
  </modules>
</system.webServer>

方案二：通过后端接口返回音频流（更安全） #

这个方案彻底隐藏真实的MP3文件路径，用户只能通过你的接口获取音频，权限验证完全在后端控制：

1. 编写控制器接口 #

把MP3文件放在Web根目录以外的安全目录（比如PrivateAudioFiles），然后创建一个控制器动作来处理音频请求：

public class AudioController : Controller
{
    [HttpGet("audio/{fileName}")]
    public IActionResult GetAudio(string fileName)
    {
        // 先验证用户是否有播放权限（无论是否能下载）
        bool canPlay = User.IsInRole("OnlyPlay") || User.IsInRole("PlayAndDownload");
        if (!canPlay)
        {
            return Forbid();
        }

        // 构造真实文件路径
        string filePath = Path.Combine(Directory.GetCurrentDirectory(), "PrivateAudioFiles", $"{fileName}.mp3");
        if (!System.IO.File.Exists(filePath))
        {
            return NotFound();
        }

        var fileStream = new FileStream(filePath, FileMode.Open, FileAccess.Read);
        string contentType = "audio/mpeg";

        // 区分权限：仅播放用户返回在线流，可下载用户允许下载
        if (User.IsInRole("PlayAndDownload"))
        {
            return File(fileStream, contentType, $"{fileName}.mp3");
        }
        else
        {
            // 设置Content-Disposition为inline，让浏览器在线播放而非直接下载
            Response.Headers.Add("Content-Disposition", $"inline; filename=\"{fileName}.mp3\"");
            return File(fileStream, contentType);
        }
    }
}

2. 修改前端音频标签 #

前端不再直接指向MP3文件，而是调用你的接口：

<!-- 仅播放权限用户 -->
<audio controls="controls" controlsList="nodownload">
  <source src="/audio/test" type="audio/mpeg" />
  Your browser does not support the audio element.
</audio>

<!-- 播放并下载权限用户 -->
<audio controls="controls">
  <source src="/audio/test" type="audio/mpeg" />
  Your browser does not support the audio element.
</audio>

额外注意事项 #

• 不管用哪种方案，权限验证一定要依赖后端的身份系统（比如ASP.NET Identity、JWT等），绝对不能相信前端传来的任何权限标识。
• 如果用流方案，记得给音频请求加适当的缓存头，减少服务器压力。
• 可以考虑对音频URL添加签名或者时效限制，进一步提升安全性。

内容的提问来源于stack exchange，提问作者Jorge López