Asp.Net Core安全防护-客户端IP白名单限制

前言

本篇展示了如何在ASP.NET Core应用程序中设置IP白名单验证的2种方式。

你可以使用以下2种方式：

• 用于检查每个请求的远程 IP 地址的中间件。
• MVC 操作筛选器，用于检查针对特定控制器或操作方法的请求的远程 IP 地址。

中间件

Startup.Configure方法将自定义 AdminSafeListMiddleware 中间件类型添加到应用的请求管道。 使用 .NET Core 配置提供程序检索到该安全，并将其作为构造函数参数进行传递。

1. app.UseMiddleware<AdminSafeListMiddleware>("127.0.0.1;192.168.1.5;::1"); 

中间件将字符串分析为数组，并在数组中搜索远程 IP 地址。 如果找不到远程 IP 地址，中间件将返回 HTTP 403 禁止访问。 对于 HTTP GET 请求，将跳过此验证过程。

1. public class AdminSafeListMiddleware 
2. { 
3.     private readonly RequestDelegate _next; 
4.     private readonly ILogger<AdminSafeListMiddleware> _logger; 
5.     private readonly string _safelist; 
6.  
7.     public AdminSafeListMiddleware( 
8.         RequestDelegate next, 
9.         ILogger<AdminSafeListMiddleware> logger, 
10.         string safelist) 
11.     { 
12.         _safelist = safelist; 
13.         _next = next; 
14.         _logger = logger; 
15.     } 
16.  
17.     public async Task Invoke(HttpContext context) 
18.     { 
19.         if (context.Request.Method != HttpMethod.Get.Method) 
20.         { 
21.             var remoteIp = context.Connection.RemoteIpAddress; 
22.             _logger.LogDebug("Request from Remote IP address: {RemoteIp}", remoteIp); 
23.  
24.             string[] ip = _safelist.Split(';'); 
25.  
26.             var bytes = remoteIp.GetAddressBytes(); 
27.             var badIp = true; 
28.             foreach (var address in ip) 
29.             { 
30.                 var testIp = IPAddress.Parse(address); 
31.                 if (testIp.GetAddressBytes().SequenceEqual(bytes)) 
32.                 { 
33.                     badIp = false; 
34.                     break; 
35.                 } 
36.             } 
37.  
38.             if (badIp) 
39.             { 
40.                 _logger.LogWarning( 
41.                     "Forbidden Request from Remote IP address: {RemoteIp}", remoteIp); 
42.                 context.Response.StatusCode = StatusCodes.Status403Forbidden; 
43.                 return; 
44.             } 
45.         } 
46.  
47.         await _next.Invoke(context); 
48.     } 
49. } 

操作筛选器

如果需要针对特定 MVC 控制器或操作方法的安全安全访问控制，请使用操作筛选器。 例如：。

1. public class ClientIpCheckActionFilter : ActionFilterAttribute 
2. { 
3.     private readonly ILogger _logger; 
4.     private readonly string _safelist; 
5.  
6.     public ClientIpCheckActionFilter(string safelist, ILogger logger) 
7.     { 
8.         _safelist = safelist; 
9.         _logger = logger; 
10.     } 
11.  
12.     public override void OnActionExecuting(ActionExecutingContext context) 
13.     { 
14.         var remoteIp = context.HttpContext.Connection.RemoteIpAddress; 
15.         _logger.LogDebug("Remote IpAddress: {RemoteIp}", remoteIp); 
16.         var ip = _safelist.Split(';'); 
17.         var badIp = true; 
18.  
19.         if (remoteIp.IsIPv4MappedToIPv6) 
20.         { 
21.             remoteIp = remoteIp.MapToIPv4(); 
22.         } 
23.  
24.         foreach (var address in ip) 
25.         { 
26.             var testIp = IPAddress.Parse(address); 
27.  
28.             if (testIp.Equals(remoteIp)) 
29.             { 
30.                 badIp = false; 
31.                 break; 
32.             } 
33.         } 
34.  
35.         if (badIp) 
36.         { 
37.             _logger.LogWarning("Forbidden Request from IP: {RemoteIp}", remoteIp); 
38.             context.Result = new StatusCodeResult(StatusCodes.Status403Forbidden); 
39.             return; 
40.         } 
41.  
42.         base.OnActionExecuting(context); 
43.     } 
44. } 

在中 Startup.ConfigureServices ，将操作筛选器添加到 MVC 筛选器集合。 在下面的示例中， ClientIpCheckActionFilter 添加了一个操作筛选器。 安全日志和控制台记录器实例作为构造函数参数进行传递。

1. services.AddScoped<ClientIpCheckActionFilter>(container => 
2. { 
3.     var loggerFactory = container.GetRequiredService<ILoggerFactory>(); 
4.     var logger = loggerFactory.CreateLogger<ClientIpCheckActionFilter>(); 
5.  
6.     return new ClientIpCheckActionFilter( 
7.         "127.0.0.1;192.168.1.5;::1", logger); 
8. }); 

然后，可以将操作筛选器应用到具有 [ServiceFilter] 属性的控制器或操作方法：

1. [ServiceFilter(typeof(ClientIpCheckActionFilter))] 
2. [HttpGet] 
3. public IEnumerable<string> Get() 

在示例应用中，操作筛选器将应用于控制器的 Get 操作方法。 当你通过发送来测试应用程序时：

HTTP GET 请求，该 [ServiceFilter] 属性验证客户端 IP 地址。 如果允许访问 Get 操作方法，则 "操作筛选器" 和 "操作" 方法将生成以下控制台输出的变体：

1. dbug: ClientIpSafelistComponents.Filters.ClientIpCheckActionFilter[0] 
2.       Remote IpAddress: ::1 
3. dbug: ClientIpAspNetCore.Controllers.ValuesController[0] 
4.       successful HTTP GET 

除 GET 之外的 HTTP 请求谓词将 AdminSafeListMiddleware 验证客户端 IP 地址。

总结

该案例完全可以改造成黑名单拦截。

原文链接：https://mp.weixin.qq.com/s/DXDCHQcZ1azLTU0TEswjwQ