如何仅向授权用户提供静态文件？

Question

我有一组 Excel 电子表格，我想在我的 ASP.NET 5 web 应用程序中仅向授权用户提供这些电子表格。

1. 我应该将文件存储在哪里？我假设在 wwwroot 中（例如 wwwroot/files）。
2. 如果在 wwwroot 中，我如何只允许授权用户访问？ （我想将它们作为来自控制器的 [Authorize] FileResult 提供，但这仍然会使文件保持打开状态，以便通过我相信的 URL 直接访问。）
3. 如何通过控制器中的 FileResult 操作引用 wwwroot 中的位置？

非常感谢！

Answer 1

在检索文件时进行身份验证检查：

        app.UseStaticFiles(new StaticFileOptions()
        {
            OnPrepareResponse = (context) =>
            {
                if (!context.Context.User.Identity.IsAuthenticated && context.Context.Request.Path.StartsWithSegments("/excelfiles"))
                {
                    throw new Exception("Not authenticated");
                }
            }
        });

Answer 2

如果您有一个登录表单 (Login.html)，一个简单的解决方案是如果用户未通过身份验证并且他正在请求受保护的资源（/protected 文件夹下的文件），则将用户重定向到登录页面。在 Startup.cs 中，在 Configure 方法中插入以下代码：

app.Use(async (context, next) =>
{
    if (!context.User.Identity.IsAuthenticated && context.Request.Path.StartsWithSegments("/protected"))
    {
        context.Response.Redirect("/Login.html");
        return;
    }
    await next.Invoke();
});

Answer 3

是的，他们应该进入wwwroot。目前没有内置的方法来保护wwwroot 目录。但是创建一个中间件模块来完成它非常简单。有一个简单易学的教程here。

如果您不熟悉开发中间件，我发布了一个 GitHub 项目，该项目展示了如何通过三个简单的步骤创建中间件。您可以下载项目here。

您不需要控制器来访问静态文件。

Answer 4

这是一个非常简单的示例，但可以更改它以检查特定角色，并且可以将代码移出 Startup.cs 以获得更大的灵活性。

app.Use(async (context, next) =>
               {
                   if (!context.User.Identity.IsAuthenticated
                       && context.Request.Path.StartsWithSegments("/excelfiles"))
                   {
                       throw new Exception("Not authenticated");
                   }
                   await next.Invoke();
               });

Answer 5

在.net core中创建一个与wwwroot同级的专用目录www，并使用如下代码：

public HomeController(IHostingEnvironment hostingEnvironment)
{
    _hostingEnvironment = hostingEnvironment;
}

[Authorize(Roles = "SomeRole")]
public IActionResult Performance()
{
    return PhysicalFile(Path.Combine(_hostingEnvironment.ContentRootPath,
                                     "www", "MyStaticFile.pdf"), "application/pdf");
}

基于以下答案（针对 .netCore）：static file authorization