ASP.NET Core 的客户端 IP 安全安全Client IP safelist for ASP.NET Core

本文内容

作者： Damien Bowden和Tom Dykstra

本文介绍三种在 ASP.NET Core 应用程序中实现 IP 安全列表（也称为白名单）的方法。可用工具如下：

  • 用于检查每个请求的远程 IP 地址的中间件。
  • 操作筛选器来检查针对特定控制器或操作方法的请求的远程 IP 地址。
  • Razor Pages 筛选器来检查 Razor 页面的请求的远程 IP 地址。

在每种情况下，包含批准的客户端 IP 地址的字符串存储在应用设置中。中间件或筛选器会将字符串分析为一个列表，并检查远程 IP 是否在列表中。如果不是，则返回 HTTP 403 禁止的状态代码。

查看或下载示例代码（如何下载）

安全安全The safelist

在appsettings文件中配置该列表。它是以分号分隔的列表，并且可以包含 IPv4 和 IPv6 地址。

  1. {
  2.   "AdminSafeList": "127.0.0.1;192.168.1.5;::1",
  3.   "Logging": {
  4.     "IncludeScopes": false,
  5.     "LogLevel": {
  6.       "Default": "Debug",
  7.       "System": "Information",
  8.       "Microsoft": "Information"
  9.     }
  10.   }
  11. }

中间件Middleware

Configure 方法将添加中间件，并在构造函数参数中将安全项的字符串传递给它。

  1. public void Configure(
  2.     IApplicationBuilder app, 
  3.     IHostingEnvironment env, 
  4.     ILoggerFactory loggerFactory)
  5. {
  6.     loggerFactory.AddNLog();
  8.     app.UseStaticFiles();
  10.     app.UseMiddleware<AdminSafeListMiddleware>(Configuration["AdminSafeList"]);
  11.     app.UseMvc();
  12. }

中间件将字符串分析为数组，并在数组中查找远程 IP 地址。如果找不到远程 IP 地址，中间件将返回 HTTP 401 禁止访问。对于 HTTP Get 请求，将跳过此验证过程。

  1. public class AdminSafeListMiddleware
  2. {
  3.     private readonly RequestDelegate _next;
  4.     private readonly ILogger<AdminSafeListMiddleware> _logger;
  5.     private readonly string _adminSafeList;
  7.     public AdminSafeListMiddleware(
  8.         RequestDelegate next, 
  9.         ILogger<AdminSafeListMiddleware> logger, 
  10.         string adminSafeList)
  11.     {
  12.         _adminSafeList = adminSafeList;
  13.         _next = next;
  14.         _logger = logger;
  15.     }
  17.     public async Task Invoke(HttpContext context)
  18.     {
  19.         if (context.Request.Method != "GET")
  20.         {
  21.             var remoteIp = context.Connection.RemoteIpAddress;
  22.             _logger.LogDebug("Request from Remote IP address: {RemoteIp}", remoteIp);
  24.             string[] ip = _adminSafeList.Split(';');
  26.             var bytes = remoteIp.GetAddressBytes();
  27.             var badIp = true;
  28.             foreach (var address in ip)
  29.             {
  30.                 var testIp = IPAddress.Parse(address);
  31.                 if(testIp.GetAddressBytes().SequenceEqual(bytes))
  32.                 {
  33.                     badIp = false;
  34.                     break;
  35.                 }
  36.             }
  38.             if(badIp)
  39.             {
  40.                 _logger.LogInformation(
  41.                     "Forbidden Request from Remote IP address: {RemoteIp}", remoteIp);
  42.                 context.Response.StatusCode = 401;
  43.                 return;
  44.             }
  45.         }
  47.         await _next.Invoke(context);
  48.     }
  49. }

操作筛选器Action filter

如果只希望特定控制器或操作方法使用 "安全"，请使用操作筛选器。下面是一个示例：

  1. using System.Linq;
  2. using System.Net;
  3. using System.Threading.Tasks;
  4. using Microsoft.AspNetCore.Authorization;
  5. using Microsoft.AspNetCore.Mvc;
  6. using Microsoft.AspNetCore.Mvc.Authorization;
  7. using Microsoft.AspNetCore.Mvc.Filters;
  8. using Microsoft.Extensions.Configuration;
  9. using Microsoft.Extensions.Logging;
  11. namespace ClientIpAspNetCore.Filters
  12. {
  13.     public class ClientIpCheckFilter : ActionFilterAttribute
  14.     {
  15.         private readonly ILogger _logger;
  16.         private readonly string _safelist;
  18.         public ClientIpCheckFilter
  19.             (ILoggerFactory loggerFactory, IConfiguration configuration)
  20.         {
  21.             _logger = loggerFactory.CreateLogger("ClientIdCheckFilter");
  22.             _safelist = configuration["AdminSafeList"];
  23.         }
  25.         public override void OnActionExecuting(ActionExecutingContext context)
  26.         {
  27.             var remoteIp = context.HttpContext.Connection.RemoteIpAddress;
  28.             _logger.LogInformation(
  29.                 "Remote IpAddress: {RemoteIp}", remoteIp);
  31.             string[] ip = _safelist.Split(';');
  33.             var badIp = true;
  34.             foreach (var address in ip)
  35.             {
  36.                 if (remoteIp.IsIPv4MappedToIPv6)
  37.                 {
  38.                     remoteIp = remoteIp.MapToIPv4();
  39.                 }
  40.                 var testIp = IPAddress.Parse(address);
  41.                 if (testIp.Equals(remoteIp))
  42.                 {
  43.                     badIp = false;
  44.                     break;
  45.                 }
  46.             }
  48.             if (badIp)
  49.             {
  50.                 _logger.LogInformation(
  51.                     "Forbidden Request from Remote IP address: {RemoteIp}", remoteIp);
  52.                 context.Result = new StatusCodeResult(401);
  53.                 return;
  54.             }
  56.             base.OnActionExecuting(context);
  57.         }
  58.     }
  59. }

操作筛选器将添加到服务容器中。

  1. public void ConfigureServices(IServiceCollection services)
  2. {
  3.     services.AddScoped<ClientIpCheckFilter>();
  5.     services.AddMvc(options =>
  6.     {
  7.         options.Filters.Add
  8.             (new ClientIpCheckPageFilter
  9.                 (_loggerFactory, Configuration));
  10.     }).SetCompatibilityVersion(CompatibilityVersion.Version_2_1);
  11. }

然后，可以在控制器或操作方法上使用该筛选器。

  1. [ServiceFilter(typeof(ClientIpCheckFilter))]
  2. [HttpGet]
  3. public IEnumerable<string> Get()

在示例应用中，筛选器将应用于 Get 方法。因此，当你通过发送 Get API 请求来测试应用时，属性将验证客户端 IP 地址。当你通过使用任何其他 HTTP 方法调用 API 进行测试时，中间件将验证客户端 IP。

Razor Pages 筛选器Razor Pages filter

如果需要 Razor Pages 应用的安全安全，请使用 Razor Pages 筛选器。下面是一个示例：

  1. using Microsoft.AspNetCore.Mvc;
  2. using Microsoft.AspNetCore.Mvc.Filters;
  3. using Microsoft.Extensions.Configuration;
  4. using Microsoft.Extensions.Logging;
  5. using System;
  6. using System.Linq;
  7. using System.Net;
  9. namespace ClientIpAspNetCore
  10. {
  11.     public class ClientIpCheckPageFilter : IPageFilter
  12.     {
  13.         private readonly ILogger _logger;
  14.         private readonly string _safelist;
  16.         public ClientIpCheckPageFilter
  17.             (ILoggerFactory loggerFactory, IConfiguration configuration)
  18.         {
  19.             _logger = loggerFactory.CreateLogger("ClientIdCheckPageFilter");
  20.             _safelist = configuration["AdminSafeList"];
  21.         }
  23.         public void OnPageHandlerExecuting(PageHandlerExecutingContext context)
  24.         {
  25.             var remoteIp = context.HttpContext.Connection.RemoteIpAddress;
  26.             _logger.LogInformation(
  27.                 "Remote IpAddress: {RemoteIp}", remoteIp);
  29.             string[] ip = _safelist.Split(';');
  31.             var badIp = true;
  32.             foreach (var address in ip)
  33.             {
  34.                 if (remoteIp.IsIPv4MappedToIPv6)
  35.                 {
  36.                     remoteIp = remoteIp.MapToIPv4();
  37.                 }
  38.                 var testIp = IPAddress.Parse(address);
  39.                 if (testIp.Equals(remoteIp))
  40.                 {
  41.                     badIp = false;
  42.                     break;
  43.                 }
  44.             }
  46.             if (badIp)
  47.             {
  48.                 _logger.LogInformation(
  49.                     "Forbidden Request from Remote IP address: {RemoteIp}", remoteIp);
  50.                 context.Result = new StatusCodeResult(401);
  51.                 return;
  52.             }
  53.         }
  55.         public void OnPageHandlerExecuted(PageHandlerExecutedContext context)
  56.         {
  57.         }
  59.         public void OnPageHandlerSelected(PageHandlerSelectedContext context)
  60.         {
  61.         }
  62.     }
  63. }

此筛选器通过将其添加到 MVC 筛选器集合来启用。

  1. public void ConfigureServices(IServiceCollection services)
  2. {
  3.     services.AddScoped<ClientIpCheckFilter>();
  5.     services.AddMvc(options =>
  6.     {
  7.         options.Filters.Add
  8.             (new ClientIpCheckPageFilter
  9.                 (_loggerFactory, Configuration));
  10.     }).SetCompatibilityVersion(CompatibilityVersion.Version_2_1);
  11. }

当你运行应用并请求 Razor 页面时，Razor Pages 筛选器将验证客户端 IP。

后续步骤Next steps

了解有关 ASP.NET Core 中间件的详细信息。