Blazor 安全设计：一个 Blazor Admin 后台需要防哪些攻击？- 惊觉

这篇是安全专题的总览，把散落在各篇里的机制汇总成一张"攻击面 → 防护 → 证据"的对照表。目标不是制造紧张感，而是让每一类风险都能指到具体代码。

一、先明确威胁模型

后台系统面对的主要是三类人：

攻击者	手里有什么	想干什么
未登录的外部人员	只知道后台地址	撞库、爆破、探测接口
已登录的低权限用户	合法账号（比如普通员工）	越权看/改不该碰的数据
内网中的其它系统	网络可达性	通过 SSRF 等入口横向移动

下面所有防护都对应这三类。

二、总览：攻击面 → 防护 → 证据

攻击面	防护机制	源码	测试
会话伪造 / 篡改	Data Protection 加密登录票据 + 统一 purpose	`AdminContext.Auth.cs`、`EasyAdminLoginTicketAuthenticationHandler.cs`	`AuthenticationTests`
后台入口探测	`AdminRouteSecret`（中间件 404 + 组件二次校验）	`AdminExtensions.cs`、`AdminContext.Auth.cs`	——
暴力破解	登录失败锁定 + 验证码	`SecurityOptions.LoginFailureLimit` / `LoginLockout`、`EnableLoginCaptcha`	——
CSRF	Antiforgery 过滤器（写方法校验）	`EasyAdminAntiforgeryFilter.cs`	`CsrfTests`
路由越权	`AuthPath`（路由 + 导航拦截）	`AdminContext.Authorization.cs`	——
操作越权	`AuthButton` + `AdminButtonAttribute`	`AdminTable.razor`、`AdminButtonAttribute.cs`	`AuthorizationTests`
数据越权（查询/改/删/导入）	`ApplyDataPermission` + `FilterAuthorizedAsync`	`FreeSqlExtensions.cs`	`DataPermissionTests`
文件上传绕过	扩展名白/黑名单 + Magic Number + ImageSharp	`FileSecurityValidator.cs`、`FileService.cs`	`FileSecurityValidatorTests`、`FileUploadSecurityTests`
路径穿越	`SafePathService`（拒绝 `..`/盘符/UNC）	`SafePathService.cs`	`PathTraversalTests`
SSRF	协议白名单 + 逐跳校验 + 连接前锁定 IP	`RemoteContentDownloader.cs`、`FileSecurityValidator.cs`	`SsrfTests`
越权订阅推送	Hub 不接受客户端 userId	`NotificationHub.cs`	`NotificationHubTests`
越权改消息状态	只取 Id + 当前用户条件	`AdminMessageService.cs`	`MessageReadTests`
密码泄露	PBKDF2 + Salt + 固定时间比较	`PBKDF2Encrypt.cs`	`Pbkdf2UpgradeTests`
匿名接口滥用	限流 + 参数校验 + 不泄露异常	`WeChatAppController.cs` 等	`AuthorizationTests`
多租户串数据	独立库 + 文件目录 + 缓存/锁前缀	`MultiTenantService.cs`、`AdminContext.Tenant.cs`	`TenantIsolationTests`、`TenantCacheIsolationTests`
异常信息泄露	通用提示 + TraceId	`ApprovalService.GenericFailure`	`ApprovalConcurrencyTests`

三、逐项展开

1. 会话：票据是加密的，且不能跨用途复用

登录成功后写的是加密票据，内容是 userId|loginTime：

var encryptedData = _loginTicketProtector.Protect($"{user.Id}|{user.LoginTime.ToString(LoginTimeFormat, CultureInfo.InvariantCulture)}");

_loginTicketProtector 来自 IDataProtectionProvider.CreateProtector("EasyAdminBlazor.LoginTicket.v1")。测试锁定了两条：

[Fact] public void LoginTicket_InvalidPurpose_CannotBeUnprotected()   // 换个 purpose 解不开
[Fact] public void EphemeralDataProtector_RoundTripsLoginTicket()

还有一条跨文件一致性断言，防止以后有人改了 purpose 导致 Hub 认证失效：

[Theory]
[InlineData("EasyAdminBlazor/Hubs/NotificationHub.cs")]
[InlineData("Extensions/EasyAdminBlazor.Chat/ChatHub.cs")]
[InlineData("EasyAdminBlazor/AdminContext.cs")]
[InlineData("EasyAdminBlazor/Components/Layout/Widget.razor")]
public void LoginTicketProtectorPurpose_IsConsistent(string relativePath)
{
    var source = ReadSource(relativePath);
    source.Should().Contain("EasyAdminBlazor.LoginTicket.v1");
}

2. CSRF：只拦写方法，失败返回 400

[Theory]
[InlineData("GET")] [InlineData("HEAD")] [InlineData("OPTIONS")] [InlineData("TRACE")]
public async Task SafeHttpMethods_AreNotValidated(string method)   // 安全方法放行

[Theory]
[InlineData("POST")] [InlineData("PUT")] [InlineData("PATCH")] [InlineData("DELETE")]
public async Task WriteHttpMethods_AreValidated(string method)     // 写方法必须校验

[Fact]
public async Task PostWithoutToken_IsRejectedWith400()             // 失败是 400，不是 500

三条约束都很关键：

只拦写方法：如果连 GET 都要求令牌，缓存和预取会出问题；
失败返回 400 而不是 500：令牌无效是客户端问题，不该记成服务端错误；
AntiforgeryDisabled 时可整体关闭（默认开启，SecurityOptions.AntiforgeryEnabled = true）。

3. 授权：四个层次缺一不可

这一块第 08、09、24 篇讲透了，这里只列结论：

路由级  AuthPath            能不能进页面
操作级  AuthButton          能不能点按钮
方法级  AdminButtonAttribute 方法能不能执行
数据级  FilterAuthorizedAsync 能操作哪些行

4. 文件与路径：两套独立的校验

内容防伪（第 23 篇）：

if (FileSignatures.TryGetValue(extension, out var signatures))
{
    return await HasAnyPrefixAsync(input, signatures, cancellationToken);
}

return false;   // 未知扩展名 fail-closed

路径防穿越（SafePathService）：

private readonly SafePathService _service = SafePathService.Instance;

[Theory]
[InlineData("..")]
[InlineData("../../etc/passwd")]
[InlineData("a/../../b")]
[InlineData("..\\..\\windows\\system32")]
[InlineData("C:/windows/system32")]
[InlineData("//server/share/file")]
public void NormalizeRelative_TraversalAttempts_Throw(string input)
{
    var act = () => _service.NormalizeRelative(input, allowRoot: false);
    act.Should().Throw<UnauthorizedAccessException>();
}

还有一个容易漏掉的用例：

[Fact]
public void IsContained_SiblingDirectoryWithSamePrefix_ReturnsFalse()
{
    var root = Path.Combine(Path.GetTempPath(), "eab-root");
    // eab-root-evil 以 eab-root 为前缀，但不是子目录
    var sibling = Path.Combine(Path.GetTempPath(), "eab-root-evil", "file.txt");
    _service.IsContained(root, sibling).Should().BeFalse();
}

如果只用 StartsWith(root) 判断包含关系，eab-root-evil 就能绕过。 这是路径校验的经典坑。

5. SSRF：出站请求也要校验目标

第 11 篇讲透了七层防护。核心两条：

每跳重定向都重新校验（禁止自动重定向）；
ConnectCallback 在建立 TCP 连接前再次校验实际 IP，关闭 DNS Rebinding 的 TOCTOU 窗口。

6. 多租户：数据库隔离 ≠ 系统隔离

第 13、15 篇讲过：数据库、文件目录、缓存键、分布式锁都要带租户维度。测试里有一组专门的候选键清单：

"tenant:main:SysConfig:",
"tenant:main:UserRoles:",
"tenant:main:Dict:",
"tenant:main:chat_messages:",
"tenant:main:save_messages_lock",

7. 信息泄露：错误信息要"对外模糊、对内精确"

private string GenericFailure(Exception ex)
{
    var traceId = Guid.NewGuid().ToString("N")[..16];
    _logger.LogError(ex, "审批处理失败，TraceId：{TraceId}", traceId);
    return LF("审批处理失败，请稍后重试。TraceId：{0}", traceId);
}

用户拿到的是通用提示 + TraceId；数据库异常、表名、SQL 片段只进日志。AuthorizationTests 里还有一条约束：控制器源码里不得出现 ex.Message。

DatabaseLogger 落库时也做了截断（消息 2000 / 异常 12000），并且写日志失败不会影响业务（第 27 篇）。

四、框架已做 vs 需要自己补

项目	框架已做	需要你补
密码哈希	PBKDF2 + 平滑升级	密码强度策略、历史密码限制
登录防护	失败锁定、验证码	二次验证（2FA）、异地登录提醒
授权	路由/按钮/方法/数据四层	权限矩阵的正确配置与验收
文件	类型/内容/路径/大小	病毒扫描、CDR、独立域名下发
SSRF	出站请求完整防护	代理环境下的额外确认
CSRF	写方法令牌校验	自定义接口注册到 MVC 过滤器链
多租户	库/文件/缓存/锁隔离	跨租户统计的权限控制
审计	操作日志 + 登录日志 + 错误日志	日志保留期限、归档与合规要求
传输	——	HTTPS、证书、HSTS
运维	——	备份、WAF/限流、端口暴露面、最小权限账号

这张表的右列不是框架的缺陷，而是产品与运维决策。 比如"是否要求 2FA"取决于客户合规要求，框架不该替业务决定。

五、上线安全清单

结合 SecurityOptions 和部署文档（第 28 篇），上线前逐条确认：

项	默认值	上线动作
`AdminRouteSecret`	`i4ByMAX4`	换成自定义值
`AesKey`	示例值	换成长随机串
默认管理员密码	`123yyq`	首次登录强制改密，确认流程可用
`MaxUploadSize`	10MB	按业务调整，不要无限放大
`MaxRemoteRedirects`	3	一般不用改
`LoginFailureLimit` / `LoginLockout`	5 次 / 15 分钟	按业务调整
`AntiforgeryEnabled`	true	不要关
`RateLimitEnabled`	true	确认匿名接口都有限流
`ExternalApiTimeout`	10 秒	按外部服务调整
`UseAutoSyncStructure`	开发 true	生产关闭
HTTPS	——	必须启用
`wwwroot/uploads` 权限	——	应用账号可写，不可执行
Redis	——	设密码、不暴露公网端口

六、小结

后台安全可以拆成六句话：

身份：票据加密、不能跨用途复用、多端登录可踢。
入口：路由安全码混淆探测成本，但真正的边界是登录与授权。
请求：写操作校验 CSRF，匿名接口限流 + 校验参数。
授权：路由、操作、方法、数据四层，前端隐藏只是体验。
内容：上传看内容不看声明，出站请求校验目标，路径拒绝上跳。
信息：对外模糊（通用提示 + TraceId），对内精确（日志含租户/用户/路径）。

这些机制在仓库里都有对应源码和测试；真正需要你判断的是：权限矩阵怎么配、上线参数怎么改、业务上还有哪些特殊约束。

如果你正在用 .NET 10 + Blazor 做企业后台，可以按这篇的对照表检查自己的项目。EasyAdminBlazor 的安全组件与测试都在仓库里，能直接复用，也能作为自研时的参考清单。

文档：https://easyadmin.wang-zhan.com.cn/doc
源码：https://gitee.com/gudufy/EasyAdminBlazor

转载自 CSDN-专业IT技术社区

原文链接：https://blog.csdn.net/gudufy/article/details/167072442

Blazor 安全设计：一个 Blazor Admin 后台需要防哪些攻击？