.net core 关于对swagger的UI（Index.html）或接口的权限验证；

主公

背景：

如何在ASP.Net Core的生产环境中保护swagger ui，也就是index.html页面。其实swagger是自带禁用的功能的，只需要设置开关即可。但是有一些场景，是需要把这些接口进行开放或者导出成文档供第三方进行调用，这个时候却又不想让所有人访问。本文介绍一种权限控制访问的方式，用来指定用户使用；
基本思路：

1，利用UseMiddlewareExtensions的UseMiddleware方法将中间件类型添加到应用程序的请求管道中。
2，增加异步方法用来验证请求的地址的header（不局限于Headers,或cookie或session）携带的信息进行比对。
3，根据比对结果返回重新登录或401或index.html页面。
实现：

一，.netcore 使用 swagger

1，在nuget包中安装Swashbuckle.AspNetCore

 
 
 2，在startup.cs的ConfigureServices方法添加以下代码：

1.         public void ConfigureServices(IServiceCollection services)
2.         {
3.             if (services == null)
4.                 throw new ArgumentNullException(nameof(services));
5.             services.AddControllers();
6.             // 添加Swagger
7.             services.AddSwaggerGen(c =>
8.             {
9.                 c.SwaggerDoc("v1", new OpenApiInfo { Title = "API Demo", Version = "v1" });
10.             });
11.         }

复制代码

3，在startup.cs的Configure方法添加以下代码：        

1.         public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
2.         {
3.             if (env.IsDevelopment())
4.             {
5.                 app.UseDeveloperExceptionPage();
6.             }
7.             
8.             app.UseAuthentication();
9.             //等后续代码写好，取消此注释
10.             //app.UseSwaggerAuthorized();//此代码就是验证代码
11.             // 添加Swagger有关中间件
12.             app.UseSwagger();
13.             app.UseSwaggerUI(c =>
14.             {
15.                 c.SwaggerEndpoint("/swagger/v1/swagger.json", "API Demo v1");
16.             });
17.             app.UseStaticFiles();
18.             app.UseCookiePolicy();
21.             app.UseRouting();
24.             app.UseAuthorization();
26.             app.UseEndpoints(endpoints =>
27.             {
28.                 endpoints.MapControllers();
29.             });
30.         }

复制代码

4，到这为止就可以正常请求地址进行访问swagger了

 
 
 
二，增加对swagger ui的验证；

接下来我们增加访问验证
1，自己创建个文件夹新增ExpandAuction.cs文件，代码如下：

1. using Microsoft.AspNetCore.Builder;
3. namespace CoreApi.Until
4. {
5.     public static  class ExpandAuction
6.     {
7.         public static IApplicationBuilder UseSwaggerAuthorized(this IApplicationBuilder builder)
8.         {
9.             return builder.UseMiddleware<SwaggerBasicAuthMiddleware>();
10.         }
11.     }
12. }

复制代码

2，创建SwaggerBasicAuthMiddleware.cs文件，代码如下：

1. using Microsoft.AspNetCore.Http;
2. using System;
3. using System.Net;
4. using System.Net.Http.Headers;
5. using System.Text;
6. using System.Threading.Tasks;
8. namespace CoreApi.Until
9. {
10.     public class SwaggerBasicAuthMiddleware
11.     {
14.         private readonly RequestDelegate next;
16.         public SwaggerBasicAuthMiddleware(RequestDelegate next)
17.         {
18.             this.next = next;
19.         }
21.         public async Task InvokeAsync(HttpContext context)
22.         {
23.             if (context.Request.Path.StartsWithSegments("/swagger"))
24.             {
25.                 string authHeader = context.Request.Headers["Authorization"];
26.                 if (authHeader != null && authHeader.StartsWith("Basic "))
27.                 {
28.                     // Get the credentials from request header
29.                     var header = AuthenticationHeaderValue.Parse(authHeader);
30.                     var inBytes = Convert.FromBase64String(header.Parameter);
31.                     var credentials = Encoding.UTF8.GetString(inBytes).Split(':');
32.                     var username = credentials[0];
33.                     var password = credentials[1];
34.                     // validate credentials
35.                     if (username.Equals("swagger")
36.                       && password.Equals("swagger"))
37.                     {
38.                         await next.Invoke(context).ConfigureAwait(false);
39.                         return;
40.                     }
41.                 }
42.                 context.Response.Headers["WWW-Authenticate"] = "Basic";
43.                 context.Response.StatusCode = (int)HttpStatusCode.Unauthorized;
44.             }
45.             else
46.             {
47.                 await next.Invoke(context).ConfigureAwait(false);
48.             }
49.         }
52.     }
54. }

复制代码

3，整体目录结构如图：

 
 
4，取消startup中的注释，如图

 
 
5，无身份的时候进行请求效果：

 
 
结语：

swagger非常方便我们后端开发人员调试接口或者测试使用，但是还是需要做好安全的处理。避免不必要的暴漏接口或参数。感谢观看~

来源:https://www.cnblogs.com/BFMC/archive/2023/03/23/17248307.html
免责声明：由于采集信息均来自互联网，如果侵犯了您的权益，请联系我们【E-Mail:cb@itdo.tech】 我们会及时删除侵权内容，谢谢合作！