asp.net - 是否可以在 Asp.net Web.config 中添加多个内容安全策略指令？

Question

我目前正在我们的 Asp.net 应用程序中应用安全措施，不得不解决一些问题，例如 x-frame-options，但在如何添加多个内容安全策略指令方面遇到了困难。

我搜索了很多，还没有找到关于如何在 web.config 中添加多个 CSP 指令的确切解决方案，但只能通过像 blog.simontimms.com 这样的代码找到解决方案。 .

目前这是我拥有的 CSP:

<httpProtocol>
  <customHeaders>
    <clear />
    <add name="X-Frame-Options" value="ALLOW-FROM http://subdomain.domain.com" />
    <add name="Content-Security-Policy" value="frame-ancestors http://subdomain.domain.com" />
  </customHeaders>
</httpProtocol>

我的问题是如何在 Asp.net web.config 中添加多个内容安全策略指令？我试过下面用分号分隔的配置，但它不起作用:(

<add name="Content-Security-Policy" value="frame-ancestors http://subdomain.domain.com; img-src *; " />

更新:

我认为上面的代码是添加多个指令的正确语法。我只是错过了 'self'紧接着在运行时导致错误的帧祖先之后，这让我认为它起初是错误的。

附加信息:

如果您在有很多子域的情况下遇到一些问题，您可以放置​​通配符 '*'像这样:

<add name="Content-Security-Policy" value="frame-ancestors 'self' http://*.domain.com; img-src *; " />

Answer 1

您可能想使用 NWebsec。请看下面 Troy Hunt 的例子。( http://www.troyhunt.com/2015/05/implementing-content-security-policy.html )

 <content-Security-Policy enabled="true">
  <default-src self="true" />
  <script-src unsafeInline="true" unsafeEval="true" self="true">
    <add source="https://www.google.com" />
    <add source="https://www.google-analytics.com" />
    <add source="https://cdnjs.cloudflare.com" />
  </script-src>
  <style-src unsafeInline="true" self="true">
    <add source="https://cdnjs.cloudflare.com"/>
  </style-src>
  <img-src self="true">
    <add source="https://az594751.vo.msecnd.net"/>
    <add source="https://www.google.com"/>
    <add source="https://www.google-analytics.com" />
  </img-src>
  <font-src>
    <add source="https://cdnjs.cloudflare.com"/>
  </font-src>
  <object-src none="false" />
  <media-src none="false" />
  <frame-src none="false" />
  <connect-src none="false" />
  <frame-ancestors none="false" />
  <report-uri enableBuiltinHandler="true"/>
</content-Security-Policy>

NWebsec is an easy to use security library for ASP.NET applications. With a few lines of config it lets you set important security headers, detect potentially dangerous redirects, control cache headers, and remove version headers. See project website for documentation.

我相信它能够添加多行 CSP 规则。

https://www.nuget.org/packages/NWebsec