在 Linux 上运行 .NET 网站，通过
HttpContext.Connection.RemoteIpAddress获取客户端的 IP 地址，结果是
::ffff:127.0.0.1解决方法：
打开 Program.cs 文件，在 var app = builder.Build(); 之前（尽量往前）添加以下代码：
if (OperatingSystem.IsLinux())
{
builder.Services.Configure<ForwardedHeadersOptions>(options =>
{
options.ForwardedHeaders = ForwardedHeaders.XForwardedFor
| ForwardedHeaders.XForwardedProto
| ForwardedHeaders.XForwardedHost;
// 清除 KnownNetworks 和 KnownProxies，表示信任来自本机的代理（如 Nginx）
options.KnownNetworks.Clear();
options.KnownProxies.Clear();
});
Console.WriteLine("ForwardedHeaders enabled (Running on Linux)");
}然后在 app.UseRouting(); 之前添加以下代码：
if (OperatingSystem.IsLinux())
{
app.UseForwardedHeaders();
Console.WriteLine("UseForwardedHeaders() applied.");
}其中，OperatingSystem.IsLinux() 用于判断只在 Linux 环境中生效，你可以视自身情况作判断。
.NET 项目发布到 Linux / CentOS / nginx 上，调用 RedirectToAction 方法跳转到 127.0.0.1:443，而不是正在访问的域名，怎么办？
打开该网站的 nginx 配置文件，找到反射代理配置（proxy_pass），将：
proxy_set_header Host 127.0.0.1:$server_port;改为
proxy_set_header Host $host;早前记录过在 CentOS 中部署 ASP.NET Core 网站，现在宝塔面板已经直接支持创建 .NET 网站了，再次记录一下。
本文环境：VS2022、.NET 9、宝塔面板v11。
一、在 VS 中创建一个 .NET 9 网站，项目名称例：WebApplication1
发布选项：
关于“生成单个文件”选项，若勾选，发布后的项目启动文件不带后缀名（.dll），尝试在宝塔面板 v11.0.0 中无法顺利启动。
二、在 Linux 服务器上创建目录：/www/wwwroot/WebApplication1/
将发布后的文件上传到这个目录上，最终的文件结构如下：
三、进入宝塔面板，在 网站-Net项目 中安装 .Net环境管理，这里以 9.0.201 为例：
四、添加项目
项目名称：随意
运行路径：项目所在目录，本例中为：
/www/wwwroot/WebApplication1启动命令：使用 dotnet 命令，dotnet 命令可以不使用全路径（/www/server/dotnet/9.0.201/dotnet），第一个参数是项目启动文件，--urls 是反向代理的服务器和端口。服务器名可以是*也可以是localhost。例：
dotnet WebApplication1.dll --urls=http://*:5000项目端口：与启动命令中的端口号一致
开机启动：一般会勾选
启动用户：尽量用 www，最小权限原则。
正常情况下，网站已启动，如果未启动，检查配置，根据报错内容排查问题。
五、配置网站
添加域名、SSL 证书等。
友情提示：
网站版本更新重新发布后，需要手动重启网站才能生效，习惯于发布到 IIS（会自动生效）的同学要特别注意。
新手尽量以空项目或默认项目来部署，避免因特殊原因导致一系列其它问题。
nginx 反向代理并不会转发所有 Header，需要手动配置。
nginx.conf 中使用 resolver 设置了 DNS 后，nginx 会遵循这个指令，而不是直接使用系统的 hosts 配置。
所以，如果 resolver 设置了外部 DNS（譬如一般的公共 DNS），在 access_by_lua_block 中使用 resty.http 库发起对包含域名的网址的请求，会忽略 hosts 的设置。
解决方案：
1、修改 resolver 指向为本机 DNS。（AI 推荐，实测无效，可以研究一下配合 dnsmasq 使读取 hosts）
查看本机 DNS 的命令：
cat /etc/resolv.conf或
nmcli dev show | grep DNS2、request_uri 中直接请求带 IP 地址的网址。
要求这个网站允许直接使用 IP 地址访问。
需要禁用 SSL 验证（ssl_verify = false）。
前几天实现了在 nginx 中使用 lua 实现远程鉴权，今天想试试在 IIS 中能不能实现相同的功能。查询资料发现需要使用 URL 重写和 HTTP 请求模块，没有深究。干脆使用 ASP.NET 中间件来实现吧。
在 StratUp.cs 的 Configure 方法中，或 Program.cs 文件中添加以下代码：
// 远程鉴权
app.Use(async (context, next) =>
{
var ip = context.Connection.RemoteIpAddress!.ToString();
var ua = context.Request.Headers.UserAgent.ToString();
var host = context.Request.Host.Host;
var uri = new Uri(context.Request.GetDisplayUrl()).PathAndQuery;
var client = new HttpClient();
client.Timeout = TimeSpan.FromSeconds(1); // 设置超时时间
try
{
var requestUrl = "https://鉴权地址/";
var requestMessage = new HttpRequestMessage(HttpMethod.Get, requestUrl);
requestMessage.Headers.Add("X-Real-IP", ip);
requestMessage.Headers.Add("User-Agent", ua);
requestMessage.Headers.Add("X-Forwarded-Host", host);
requestMessage.Headers.Add("X-Forwarded-Uri", uri);
// 发送请求
var response = await client.SendAsync(requestMessage);
// 检查响应状态码
if (response.StatusCode == HttpStatusCode.Forbidden)
{
// 如果返回403，则拒绝访问
context.Response.StatusCode = (int)HttpStatusCode.Forbidden;
await context.Response.WriteAsync("Access Denied");
}
else
{
// 如果返回其他状态码，则继续执行管道中的下一个中间件
await next();
}
}
catch (TaskCanceledException ex) when (ex.CancellationToken.IsCancellationRequested)
{
// 如果请求超时（任务被取消），则继续执行管道中的下一个中间件
await next();
}
catch
{
// 如果遇到错误，则继续执行管道中的下一个中间件
await next();
}
});代码很简单，使用 HttpClient 发送请求，若返回 403 则拒绝访问，其它情况继续执行业务逻辑，超时或报错的情况按需修改即可。
若鉴权接口在私网中，建议将鉴权接口域名和私网 IP 添加到 hosts 文件中。
location 优先于 access_by_lua_block，即使 access_by_lua_block 放在 http 中。
location 的 3 种匹配的优先级，精确匹配（=） > 正则匹配（~） > 前缀匹配（无符号，直接是“/”开头的 uri 前缀）。
相同匹配类型的多个 location（比如有多个正则匹配），按定义顺序来进行匹配。
一旦有一个 location 被匹配到，就不再继续匹配其它 location。
如果使用 access_by_lua_block 鉴权，那么不要放在任何 location 中，这样，匹配完 location 后只要没有命中直接返回语句，就会继续执行 access_by_lua_block。并且，如果 access_by_lua_block 中鉴权拒绝，后续的业务处理（如 php 业务）不会继续进行。
http {
...
lua_shared_dict cpu_cache 1m; # 定义共享字典用于缓存 CPU 使用率
access_by_lua_block {
local cpu_cache = ngx.shared.cpu_cache
local cache_time = cpu_cache:get("cache_time") or 0
local current_time = ngx.now()
if current_time - cache_time > 5 then -- 每 5 秒更新一次
local cpu_info = io.popen("top -bn1 | grep 'Cpu(s)'"):read("*all")
local cpu_usage = cpu_info:match("(%d+%.%d+) id") -- 获取空闲 CPU 百分比
local cpu_used = 100 - tonumber(cpu_usage) -- 计算使用率
cpu_cache:set("cpu_usage", cpu_used)
cpu_cache:set("cache_time", current_time)
end
local cpu_usage = cpu_cache:get("cpu_usage")
ngx.log(ngx.INFO, "CPU 使用率: " .. cpu_usage .. "%")
-- 将 cpu_usage 发送到远程鉴权接口，可根据服务器压力来决定是否拒绝一些不重要的请求
}
}代码解析：
共享字典：使用 lua_shared_dict 定义一个共享字典 cpu_cache，用于存储 CPU 使用率和缓存时间。
获取 CPU 使用率：在 access_by_lua_block 中，检查缓存时间，如果超过 5 秒，则重新获取 CPU 使用率，并更新共享字典。
记录日志：使用 ngx.log 将 CPU 使用率记录到 Nginx 日志中。
注意事项：
确保 Nginx 配置中已经加载了 Lua 模块（如 ngx_http_lua_module）。
根据实际需求调整缓存时间，以平衡性能和数据的实时性。
尝试过使用 ifconfig 或 ip 命令获取网卡流量，在宝塔面板中失败了，怀疑是权限问题，有空再研究。临时方案是鉴权接口定时调用宝塔面板 API 或阿里云控制台 API 来获取 ECS 的 CPU 和带宽使用率。
在 access_by_lua_block 代码块中实现远程鉴权：
#鉴权-START #resolver 223.5.5.5; # cat /etc/resolv.conf access_by_lua_block { local http = require("resty.http") local httpc = http.new() httpc:set_timeout(500) -- 连接超时 local res, err = httpc:request_uri("https://鉴权地址/", { method = "GET", headers = { ["X-Real-IP"] = ngx.var.remote_addr, ["User-Agent"] = ngx.var.http_user_agent, ["X-Forwarded-Host"] = ngx.var.host, ["X-Forwarded-Uri"] = ngx.var.request_uri, }, ssl_verify = false, -- 禁用 SSL 验证 timeout = 500, -- 读取超时 }) if not res then ngx.log(ngx.ERR, "Failed to request: " .. err) end if res and res.status == 403 then ngx.exit(ngx.HTTP_FORBIDDEN) -- return ngx.redirect("https://一个显示403友好信息的页面.html") end } #鉴权-END注意更改接口地址和友情显示 403 页面地址。
本示例仅捕获 403 状态码，500、408 等其它异常情况视为允许访问，请根据业务需求自行添加状态码的判断。
若超时也会进入
if not res then代码块。建议将此代码部署在 nginx 主配置文件的 http 代码块中（宝塔面板中的路径：/www/server/nginx/nginx/conf/nginx.conf），如果你只想为单个网站鉴权，也可以放在网站配置文件的 server 块中。
若鉴权接口在私网中，建议将鉴权接口域名和私网 IP 添加到 hosts 文件中。
附
直接输出字符串
ngx.header.content_type = "text/plain"; ngx.say("hello world!")输出到日志
ngx.log(ngx.ERR, "Response status: " .. res.status)日志在网站的 站名.error.log 中查看。
宝塔面板查看方式：日志 - 网站日志 - 异常
若想获取服务器 CPU 使用率等信息并传递给远程鉴权接口，请参考此文。
常见问题
no resolver defined to resolve
原因：没有定义 DNS 解析器
解决方法：在 http 块或 server 块中添加
resolver 8.8.8.8 valid=30s;，推荐使用接入商自己的公共 DNS，如果走内网，推荐使用本机 DNS。unable to get local issuer certificate
原因：没有配置 SSL 证书信息
解决方法：添加 request_uri 参数：
ssl_verify = true, -- 启用 SSL 验证 ssl_trusted_certificate = "证书路径", -- 指定 CA 证书路径或
ssl_verify = false, -- 禁用 SSL 验证若您不想用 lua，可以用 nginx 原生自带的 auth_request 模块来实现。
安装 OpenResty
在 宝塔面板 - 软件商店 中搜索 nginx，安装版本选择 openresty 版
安装 resty.http
luarocks install lua-resty-http检测已安装的组件
nginx -v lua -v openresty -v luarocks --version测试代码
access_by_lua_block { local http = require("resty.http") }或
access_by_lua ' local http = require("resty.http") ';
鉴权方式有许多，譬如可以用 lua 的 access_by_lua 来实现，这里用 nginx 自带的 auth_request，虽然功能简单，但效率更高。
第一步，确保 nginx 已编译安装 auth_request 模块，见此文。
第二步，打开需要鉴权的网站的 nginx 配置文件，添加以下代码块：
#鉴权-START
location / {
auth_request /auth;
error_page 403 = @error403;
#PHP-INFO-START PHP引用配置，可以注释或修改
include enable-php-**.conf;
#PHP-INFO-END
}
location = /auth {
internal;
proxy_pass https://鉴权地址;
proxy_pass_request_body off;
proxy_set_header Content-Length "";
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header User-Agent $http_user_agent;
proxy_set_header X-Forwarded-Host $host;
proxy_set_header X-Forwarded-Uri $request_uri;
proxy_intercept_errors on;
#proxy_read_timeout 1s; # 超时会报 500
}
location @error403 {
#default_type text/plain;
#return 403 'forbidden';
return 302 https://一个显示403友好信息的页面.html;
}
#鉴权-END一般放在所有的 location 之前。
这里自定义请求头 X-Forwarded-Host 与 X-Forwarded-Uri 用来传递 host 与 uri。API 应从 Header 中相应取值。
宝塔面板中是通过 include enable-php-**.conf; 的方式调用 PHP ，那么可以将此行移入上面的 location / 代码块中，因为此代码块能匹配所有的请求路径。
最后，若鉴权接口在私网中，将鉴权接口域名和私网 IP 添加到 hosts 文件中。