反向代理在ASP.NET Core前提升安全、性能与部署灵活性，通过ForwardedHeadersMiddleware识别真实客户端信息，并可用YARP构建高性能API网关实现路由、负载均衡与SSL终止。
反向代理在ASP.NET Core应用前扮演着一个关键的“守门人”角色，它接收外部请求，然后将这些请求转发给内部的ASP.NET Core应用（通常是Kestrel服务器）。简单来说，它不是直接让用户访问你的应用，而是先经过它，它再帮你把请求送过去，并把应用返回的结果送回给用户。这不仅仅是为了转发，更是为了提供安全、性能优化和更灵活的部署策略。
解决方案
配置ASP.NET Core的反向代理，我们通常是让ASP.NET Core应用“知道”自己正处于一个反向代理之后。当然，如果你想在ASP.NET Core内部构建一个轻量级的代理，YARP (Yet Another Reverse Proxy) 是一个非常现代且强大的选择。
让ASP.NET Core感知反向代理：
这是最常见的情况。当你的ASP.NET Core应用运行在Nginx、IIS或Apache等反向代理后面时，你需要配置
ForwardedHeadersMiddleware。这个中间件会读取反向代理添加的
X-Forwarded-For、
X-Forwarded-Proto等HTTP头，让ASP.NET Core应用正确识别客户端的真实IP、原始请求协议（HTTP/HTTPS）和主机名。不然，你的应用可能会以为所有请求都来自反向代理本身，并且协议总是HTTP。
// Program.cs 或 Startup.cs
using Microsoft.AspNetCore.Builder;
using Microsoft.AspNetCore.Hosting;
using Microsoft.Extensions.DependencyInjection;
using Microsoft.Extensions.Hosting;
using Microsoft.AspNetCore.HttpOverrides; // 引入这个命名空间
using System.Net; // 用于IPAddress
public class Startup
{
public void ConfigureServices(IServiceCollection services)
{
services.AddControllersWithViews();
services.Configure(options =>
{
options.ForwardedHeaders =
ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto | ForwardedHeaders.XForwardedHost;
// 强烈建议：如果你的反向代理是已知的，添加它的IP地址或网络
// 这样可以防止恶意客户端伪造X-Forwarded-*头。
// 例如，如果你的Nginx运行在同一台机器上，可以这样添加：
// options.KnownProxies.Add(IPAddress.Loopback); // 127.0.0.1
// 如果你的代理是特定IP，比如192.168.1.100
// options.KnownProxies.Add(IPAddress.Parse("192.168.1.100"));
// 如果你的代理在一个特定的内部网络段
// options.KnownNetworks.Add(new IPNetwork(IPAddress.Parse("10.0.0.0"), 8));
});
}
public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
if (env.IsDevelopment())
{
app.UseDeveloperExceptionPage();
}
else
{
app.UseExceptionHandler("/Home/Error");
// 生产环境中，通常会启用HSTS
app.UseHsts();
}
// 必须在任何依赖请求scheme、host或客户端IP的中间件之前调用
// 例如，在 UseStaticFiles, UseRouting, UseAuthentication, UseAuthorization 之前
app.UseForwardedHeaders();
// 如果你的反向代理已经处理了SSL，且你需要强制HTTPS，
// 确保UseHttpsRedirection能正确读取ForwardedHeaders
// 否则，可能需要根据实际情况禁用或调整UseHttpsRedirection
// app.UseHttpsRedirection();
app.UseStaticFiles();
app.UseRouting();
app.UseAuthorization();
app.UseEndpoints(endpoints =>
{
endpoints.MapControllerRoute(
name: "default",
pattern: "{controller=Home}/{action=Index}/{id?}");
});
}
} 在ASP.NET Core中实现反向代理 (YARP):
如果你想用ASP.NET Core来构建一个反向代理服务（比如API网关），YARP是一个非常棒的选择。它由微软团队开发，专为高性能反向代理设计。它能让你在ASP.NET Core应用内部实现路由、负载均衡等功能。
安装YARP: 打开你的项目，运行命令：
dotnet add package Yarp.ReverseProxy
-
配置YARP： 在
appsettings.json
中配置路由和集群。这里定义了请求如何匹配（Match
）以及匹配后转发到哪个后端服务组（ClusterId
），以及这些服务组包含哪些具体的后端地址（Destinations
）。{ "Logging": { "LogLevel": { "Default": "Information", "Microsoft.AspNetCore": "Warning" } }, "AllowedHosts": "*", "ReverseProxy": { "Routes": { "apiRoute": { "ClusterId": "apiCluster", "Match": { "Path": "/api/{**remainder}" // 匹配所有 /api/ 开头的路径 }, "Transforms": [ // 转发前对请求进行转换 { "PathRemovePrefix": "/api" } // 移除 /api 前缀，后端服务不需要这个前缀 ] }, "authRoute": { "ClusterId": "authCluster", "Match": { "Path": "/auth/{**remainder}" } } }, "Clusters": { "apiCluster": { "Destinations": { "apiDestination1": { "Address": "http://localhost:5001/" // 后端API服务地址 }, "apiDestination2": { "Address": "http://localhost:5002/" // 另一个API服务实例，用于负载均衡 } }, "LoadBalancingPolicy": "RoundRobin" // 负载均衡策略 }, "authCluster": { "Destinations": { "authDestination1": { "Address": "http://localhost:6000/" // 认证服务地址 } } } } } } -
集成YARP到ASP.NET Core： 在
Startup.cs
或Program.cs
中注册YARP服务并将其作为终结点。// Program.cs 或 Startup.cs public class Startup { public IConfiguration Configuration { get; } public Startup(IConfiguration configuration) { Configuration = configuration; } public void ConfigureServices(IServiceCollection services) { services.AddControllers(); // 如果你的代理服务也需要处理一些本地请求 services.AddReverseProxy() .LoadFromConfig(Configuration.GetSection("ReverseProxy")); // 从 appsettings.json 加载配置 // 或者你也可以在代码中动态配置路由和集群 } public void Configure(IApplicationBuilder app, IWebHostEnvironment env) { if (env.IsDevelopment()) { app.UseDeveloperExceptionPage(); } app.UseRouting(); // 注意：MapReverseProxy 应该放在 UseEndpoints 的最后， // 确保其他本地路由（如果有的话）优先处理 app.UseEndpoints(endpoints => { endpoints.MapControllers(); // 如果有本地API控制器 endpoints.MapReverseProxy(); // 将YARP作为终结点处理反向代理请求 }); } }YARP的配置非常灵活，可以实现负载均衡、重试、健康检查、SSL卸载等高级功能。这在微服务架构中特别有用，可以作为服务网格的边缘代理。
为什么我们需要在ASP.NET Core应用前放置反向代理？
这可不是多此一举，而是出于多方面考量，有些是性能和安全，有些则是架构上的必然。我个人觉得，几乎所有生产环境的ASP.NET Core应用，都不会裸奔，前面总得有个反向代理。
- 安全性提升： 反向代理可以作为第一道防线，过滤恶意请求，隐藏后端服务器的真实IP和端口。例如，Nginx可以很好地处理DDoS攻击，并提供WAF（Web Application Firewall）功能。它还能统一管理SSL证书，避免每个后端服务都去配置。
- 负载均衡： 当你的应用流量很大时，单个Kestrel实例可能吃不消。反向代理可以将请求分发到多个后端ASP.NET Core实例，实现水平扩展，提高应用的可用性和响应速度。这是构建高可用系统不可或缺的一环。
- SSL/TLS终止： 很多时候，我们会让反向代理来处理HTTPS连接的加密和解密（
