问题
有时,我们可能在Web API中包含一些具有调试功能的请求。比如我们上次的文章中“晕了!这个配置值从哪来的?”使用的获取配置值的功能:
endpoints.MapGet("/test2/{key:alpha}", async context =>
{var key = context.Request.RouteValues["key"].ToString();foreach (var provider in Configuration.Providers.Reverse()){if (provider.TryGet(key, out string value)){await context.Response.WriteAsync(provider.ToString());await context.Response.WriteAsync("\r\n");await context.Response.WriteAsync(value);break;}}
});
但你绝不会想在生产环境中暴露它们。要想实现此目的,有多种方案:
用户权限验证
编译成单独dll,不发布到生产环境
这些方案各有利弊,这里我们介绍一种使用Middleware实现的简单方案。
实现
从上图可以看到,请求要访问到实际路由,需要先经过Middleware,我们可以在最外层的Middleware进行检查,只有满足条件的请求才能通过,否则返回403错误。
Middleware代码如下:
public class DebugMiddleware : IMiddleware
{public async Task InvokeAsync(HttpContext context, RequestDelegate next){var isDebugEndpoint = context.Request.Path.Value.Contains("/test");var debugKey = context.Request.Query["debugKey"].ToString();var debugKeyInConfig = "123456";//来自于配置if (isDebugEndpoint && debugKey!=debugKeyInConfig){context.SetEndpoint(new Endpoint((context) =>{context.Response.StatusCode = StatusCodes.Status403Forbidden;return Task.CompletedTask;},EndpointMetadataCollection.Empty,"无权访问"));}await next(context);}
}
当请求地址包含“/test”时,检查请求参数debugKey
是否和配置的值一样,如果不一样就返回403错误。
效果如下图:
结论
如果你觉得这篇文章对你有所启发,请关注我的个人公众号”My IO“,记住我!