企业官网建设流程全解析

ASP.NET Core 安全与 Identity 实战指南：从认证授权、CSRF/CORS 到密钥托管的完整防线

【免费下载链接】skillsSkills Catalog for Codex项目地址: https://gitcode.com/GitHub_Trending/skills4/skills

导读

本文以 Codex 技能目录 aspnet-core 技能包 中的核心参考文档 security-and-identity.md 为主体，系统梳理 ASP.NET Core 应用的安全基线：认证与授权的正确管道顺序、ASP.NET Core Identity 的接入方式、CSRF/CORS/浏览器安全、HTTPS/HSTS/转发头，以及数据保护密钥与生产密钥的管理原则。读完本文，你将掌握一套可直接落地到 Blazor Web App、Razor Pages、MVC 与 Minimal API 场景的纵深防御实践，并能与技能包内 program-and-pipeline.md、apis-minimal-and-controllers.md 等参考形成完整的工程闭环。

Security Defaults：先立安全基线

security-and-identity.md 给出的第一组原则是所有后续决策的底色，其核心是"默认安全、最小暴露"：

• 使用当前可用的最安全的认证流程：新项目优先采用框架推荐且经过充分审计的认证方案，而不是自造认证机制；
• 让密钥远离源代码与明文配置文件：任何形式的明文密钥进入仓库都视为事故；
• 开发环境使用 Secret Manager：避免本地密钥散落在appsettings.json中；
• 生产环境使用安全的密钥存储：如托管密钥库（Key Vault 类服务）或等效的安全存储；
• 强制 HTTPS：作为传输层底线；
• 对用户、服务与数据访问应用最小权限（least privilege）：权限边界宁窄勿宽。

这套基线与技能包 testing-performance-and-operations.md 中的运维防护要求相互印证——后者明确要求"keep secrets out of publish artifacts"（密钥不得进入发布产物），以及"fail fast on invalid configuration"（无效配置尽早失败）。也就是说，安全基线不仅要在编码阶段落实，还要在构建、发布与部署阶段持续守位。

认证与授权：回答"是谁"与"能做什么"

文档明确界定了两个容易混淆的概念：

• Authentication（认证）：回答调用者是谁（who）；
• Authorization（授权）：回答调用者能做什么（what）。

两者在请求管道中有严格的顺序约定，这是 ASP.NET Core 中"顺序即行为"的典型体现。

默认管道顺序

1. UseAuthentication() 2. UseAuthorization()

UseAuthentication()必须排在UseAuthorization()之前，否则授权中间件无法拿到身份信息。这一规则与 program-and-pipeline.md 的中间件顺序清单完全一致（该文档明确强调 "Call UseAuthentication() before UseAuthorization()"，且"不要无理由地在认证与授权之间插入自定义中间件"）。同时注意：在 Minimal API 应用中，显式调用UseRouting()通常是不必要的，除非你确实需要控制顺序。

在边界上应用授权

文档强调"在边界（boundary）施加授权"，而不是把授权逻辑散落在业务内部：

• [Authorize]特性：应用于控制器（controller）、Action、页面模型（PageModel）或 SignalR Hub；
• RequireAuthorization()：应用于端点和路由组（route group），是 Minimal API 的授权挂载点。apis-minimal-and-controllers.md 同步提醒：授权应施加在端点或控制器边界，而不是只在服务方法内部判断；
• 策略（policies）：用于封装可复用的授权规则，避免在页面/端点逻辑中散落 if/else 式判断；
• 角色（roles）：仅在基于角色的检查确实是正确的抽象时才使用——角色是粗粒度授权，复杂业务宜用策略 + Claims 表达。

此外，AllowAnonymous要"克制且有意识地使用"（sparingly and intentionally），逐点豁免而不是大范围放行。

Identity：第一方账号体系的标准答案

当应用需要第一方用户账号——登录流程、密码管理、邮箱确认、MFA（多因素认证）或相关的账户管理能力时，文档给出的建议是直接使用ASP.NET Core Identity，而不是另起炉灶。

起步模板

文档给出的两个官方起始点：

dotnet new webapp -au Individual dotnet new mvc -au Individual

其中-au Individual会生成带个人账号认证的模板骨架，包含 Identity UI、注册/登录页面与默认的数据模型。这与技能包 stack-selection.md 的模板矩阵一致——webapp（Razor Pages）与mvc是服务端渲染 UI 的两种主要起点，需要账号体系时从-au Individual起步最省力。

Identity 使用守则

• 只 scaffold 你真正需要定制的页面：Identity UI 提供的是完整但默认的页面集，全量 scaffold 会显著抬升合并与升级成本。文档原话是 "scaffold only the pages you truly need to customize; keep Identity UI updates maintainable; full scaffolding increases merge and upgrade cost"——也就是说，默认页面交给框架维护，定制面越窄，跨版本升级越平滑；
• 用策略和 Claims 做授权：不要把业务决策全部编码进页面逻辑，授权判断应上升为可复用的策略；
• 多实例部署时必须持久化 contenteditable="false">【免费下载链接】skillsSkills Catalog for Codex项目地址: https://gitcode.com/GitHub_Trending/skills4/skills