dotnet最小webApi开发实践
软件开发过程中，经常需要写一些功能验证代码。通常是创建一个console程序来验证测试，但黑呼呼的方脑袋界面，实在是不讨人喜欢。
Web开发目前已是网络世界中的主流，微软在asp.net框架大行其道之下，也整了个最小webapi项目开发向导。
今天，我也拥抱一下新的开发模式，来使用webapi方式来做一个小的应用实践。
打开宇宙最强编辑器VS2022，根据向导进行创建新项目，我们选择ASP.NET Core Web API项目。
填写项目配置信息，我们今天来创建一个访客IP白名单授权的功能。功能就是当访客访问web页面时，页面请求api授权，api对网络授权请求来源进行判断，当访客来源地址为白名单中的地址时，返回一个http 200的响应，当访客来源IP不在白名单时，返回一个 http 401未证的响应。
.net框架选项中，最低只有.net8.0可选
点击创建，vs自动为我们生成了项目和代码
namespace flyfire.whitelistAuthorization
{
public class Program
{
public static void Main( string [] args)
{
var builder = WebApplication.CreateBuilder(args);
// Add services to the container.
builder.Services.AddControllers();
// Learn more about configuring Swagger/OpenAPI at https://aka.ms/aspnetcore/swashbuckle
builder.Services.AddEndpointsApiExplorer();
builder.Services.AddSwaggerGen();
var app = builder.Build();
// Configure the HTTP request pipeline.
if (app.Environment.IsDevelopment())
{
app.UseSwagger();
app.UseSwaggerUI();
}
app.UseAuthorization();
app.MapControllers();
app.Run();
}
}
}框架不仅生成了代码，还默认增加了调试模式下使用丝袜哥（swagger）作为web测试的界面，真是贴心啊。
向导生成了一个天气预报的类和一个web控制器
天气预报的类
namespace flyfire.whitelistAuthorization
{
public class WeatherForecast
{
public DateOnly Date { get ; set ; }
public int TemperatureC { get ; set ; }
public int TemperatureF => 32 + ( int )(TemperatureC / 0.5556);
public string ? Summary { get ; set ; }
}
}天气预报web控制器
using Microsoft.AspNetCore.Mvc;
namespace flyfire.whitelistAuthorization.Controllers
{
[ApiController]
[Route("[controller]")]
public class WeatherForecastController : ControllerBase
{
private static readonly string[] Summaries = new[]
{
"Freezing", "Bracing", "Chilly", "Cool", "Mild", "Warm", "Balmy", "Hot", "Sweltering", "Scorching"
};
private readonly ILogger<WeatherForecastController> _logger;
public WeatherForecastController(ILogger<WeatherForecastController> logger)
{
_logger = logger;
}
[HttpGet(Name = "GetWeatherForecast")]
public IEnumerable<WeatherForecast> Get()
{
return Enumerable.Range(1, 5).Select(index => new WeatherForecast
{
Date = DateOnly.FromDateTime(DateTime.Now.AddDays(index)),
TemperatureC = Random.Shared.Next(-20, 55),
Summary = Summaries[Random.Shared.Next(Summaries.Length)]
})
.ToArray();
}
}
}什么代码都不用写，一个最小示例webApi接口方法就OK了。
下面我们来编写一个自己的功能。
在解决方案管理器控制目录上，右键菜单，新建一个API控制器。
选择API分类
我们创建一个名为 "WhitelistAuthorization"的空的API控制器.
我们将在WhitelistAuthorization控制器中，实现一个Authorization接口方法，当请求来源的IP地址为白名单地址时，返回StatusCode 200,并返回一些信息，否则返回StatusCode 401和未授权信息。
我们在appsetting.json中使用的个section存放白名单IP信息。
"WhiteIpList": {
"IpList": [
"127.0.0.1"
]
}我们创建一个类WhiteIpList用于映射配置数据。
public class WhiteIpList
{
public List< string > IpList { get ; set ; }
}在Main函数中，增加如下代码，将配置段实例化绑定并注入到依赖注入（DI）容器
builder.Services.Configure<WhiteIpList>(builder.Configuration.GetSection("WhiteIpList"));
然后，我们在WhitelistAuthorization控制器的构造函数中，注入配置参数。
private readonly WhiteIpList _whiteIpList;
public WhitelistAuthorizationController(IOptions<WhiteIpList> whiteIpList)
{
_whiteIpList = whiteIpList.Value;
}
接着，我们增加一个认证授权方法，用于认证授权，返回状态码200或401。
[HttpGet("[action]")]
[HttpPost("[action]")]
public IActionResult Authorization()
{
var remote_ip = GetClientIpAddress(HttpContext.Request);
if (Untility.IsIpExist(_whiteIpList.IpList, remote_ip))
{
return Ok(new
{
body = new
{
code = 200
}
});
}
else
{
return StatusCode(401, "Unauthorized: IP address not in whitelist.");
}
}HttpRequest的HttpContext.Connection.RemoteIpAddress中可获得浏览端的IP地址。
不过，如果认证服务接口需经过Nginx转发时，则需要对Nginx进行一些配置以及相应的代码处理方可有效获取到浏览端的IP。
当网络HTTP请求经过Nginx服务器转发时，Web API仍然有可能获取到请求方的IP地址，但这取决于Nginx的配置以及Web API如何解析这些信息。
Nginx配置
Nginx可以通过proxy_set_header指令来添加或修改转发给后端服务器的请求头。为了获取请求方的IP地址，你需要在Nginx配置文件中设置X-Forwarded-For请求头，该请求头会包含客户端的原始IP地址。
例如，你可以在Nginx的配置文件（通常是nginx.conf或某个站点的配置文件）中添加以下行：
proxy_set_header X-Forwarded-For $remote_addr;
这行代码会将客户端的IP地址添加到X-Forwarded-For请求头中，并将其转发给后端服务器。如果客户端和Nginx之间有多层代理，X-Forwarded-For请求头可能会包含多个IP地址，第一个地址通常是客户端的原始IP。
Web API解析
在Web API中，你需要检查X-Forwarded-For请求头来获取客户端的IP地址。这通常涉及到从HTTP请求中提取请求头信息。
以下是一个在ASP.NET Core Web API中获取客户端IP地址的示例代码：
csharp
public string GetClientIpAddress(HttpRequest request)
{
// 首先尝试从X-Forwarded-For请求头中获取IP地址
var xForwardedFor = request.Headers["X-Forwarded-For"].ToString();
if (!string.IsNullOrEmpty(xForwardedFor))
{
// 如果X-Forwarded-For包含多个IP地址，取第一个地址作为客户端IP
var ipAddresses = xForwardedFor.Split(',');
return ipAddresses.FirstOrDefault()?.Trim();
}
// 如果X-Forwarded-For不存在，则尝试从RemoteAddress属性中获取IP地址
return request.HttpContext.Connection.RemoteIpAddress?.ToString();
}
在这段代码中，我们首先尝试从X-Forwarded-For请求头中获取IP地址。如果请求头不存在或为空，我们则回退到从RemoteAddress属性中获取IP地址。但请注意，当请求经过Nginx转发时，RemoteAddress属性可能会包含Nginx服务器的IP地址，而不是客户端的IP地址。
注意事项
安全性：X-Forwarded-For请求头可以被客户端伪造，因此它不应该被视为绝对可靠的客户端IP地址来源。在需要高安全性的场景中，你可能需要采取额外的措施来验证客户端的IP地址。
配置一致性：确保你的Nginx服务器和后端Web API都正确配置了相关的请求头处理和解析逻辑。
多层代理：如果请求经过了多层代理服务器，X-Forwarded-For请求头可能会包含多个IP地址。你需要确定如何解析和使用这些地址。如果X-Forwarded-For包含多个IP地址，取第一个地址作为客户端IP
运行项目，在swaggerUI界面框架中进行测试验证
使用localhost地址测试，无法得到有效的IP址，白名单验证失败。
使用127.0.0.1的回环地址测试，可通过白名单验证。
以上，我们使用少量代码，就简单实现了一个支持Get和Post方法的并且可使用配置文件的Authorization授权接口。