.NET：在ASP.NET中如何進行IP限制

背景

為了增強系統的安全，很多信息系統都提供了“IP限制”功能。功能雖然簡單，但是從業五年來從來沒有是實現過，因此就以博文的形式記錄下來。

思路

實現應該很簡答，功能可以分解為如下這三個問題：

1. 1. 判斷當前請求是否應用IP限制，有些請求不用應用IP限制的。
   2. 當前客戶IP是否包含在限制列表中。
   3. 如何以AOP的形式應用IP限制

1和2可以抽象為一個接口

using System;

namespace IpLimit.Codes
{
    interface IIpLimitService
    {
        bool IsInExcludeUrl(string url);
        bool IsInLimit(string ip);
    }
}

3可以用IHttpModule實現

using System;
using System.Collections.Generic;
using System.Linq;
using System.Web;

namespace IpLimit.Codes
{
    public sealed class IpLimitModule : IHttpModule
    {
        public void Dispose()
        {

        }

        public void Init(HttpApplication context)
        {
            context.BeginRequest += this.OnBeginRequest;
        }

        private void OnBeginRequest(object sender, EventArgs args)
        {
            var ipLimitService = new IpLimitService();
            var clientIp = HttpContext.Current.Request.UserHostAddress;
            var requestUrl = HttpContext.Current.Request.Url;

            if (ipLimitService.IsInExcludeUrl(requestUrl.AbsolutePath))
            {
                return;
            }

            if (ipLimitService.IsInLimit(clientIp))
            {
                HttpContext.Current.Response.Redirect("IpLimit.html");
            }
        }
    }
}

實現細節

1. 1. this.Request.UserHostAddress的格式為“127.0.0.1”。
   2. this.Request.Url.AbsolutePath的格式為“/Tests/GetIp.aspx”，
   3. 具體限制IP列表和排除地址列表的存儲可以自己酌情實現。

備注

對應黑客知識，我並不了解，黑客是不是很容易模擬客戶端IP，有高手的話，請指點一二。