在ASP.NET核心3中设置身份验证回退策略时，允许匿名用户访问健康检查端点

Question

默认情况下，FallbackPolicy核心3允许设置asp.net以确保端点的安全：

            services.AddAuthorization(options =>
            {
                options.FallbackPolicy = new AuthorizationPolicyBuilder()
                    .RequireAuthenticatedUser()
                    .Build();
            });

这是一个很好的特性，但我也有一个HealthCheck端点，现在需要授权。

            services.AddHealthChecks();
            [...]
            app.UseEndpoints(endpoints => {
                endpoints.MapHealthChecks("/health");
                endpoints.MapControllers();
            });

如何允许匿名访问HealthCheck端点(没有身份验证或授权)？

Answer 1

我遇到了完全相同的问题，所以我希望这有助于更令人满意的实现：

        app.UseEndpoints(endpoints =>
        {
            endpoints.MapDefaultControllerRoute().RequireAuthorization();

            endpoints.MapHealthChecks("/health").WithMetadata(new AllowAnonymousAttribute());

        });

Answer 2

从.NET 5开始，有一个更清晰的新的方法-- AllowAnonymous()

app.UseEndpoints(endpoints =>
    {
        endpoints.MapHealthChecks("/health").AllowAnonymous();
    });

Answer 3

您可以在使用HealthCheckMiddleware之前调用AuthenticationMiddleware：

app.Map("/health",appbuilder =>{
    appbuilder.UseMiddleware<HealthCheckMiddleware>();
});
// or 
// app.UseHealthChecks("/health");


app.UseRouting();
// make sure the authentication middleware runs after the health check middleware
app.UseAuthentication();
app.UseAuthorization();

app.UseEndpoints(endpoints =>
{
    endpoints.MapControllerRoute(
        name: "default",
        pattern: "{controller=Home}/{action=Index}/{id?}");
});