asp.net-mvc - 是否可以编辑由 IIS/web.config 设置的自定义 Content-Security-Policy header ？

Question

我想知道是否可以修改 Content-Security-Policy在 <customHeaders> 下设置的 header 在 web.config 中。

如果可能的话，我想注入(inject)一个 nonce 值。我目前正在这样做，但我需要从 web.config 中完全删除 header 并通过 Application_BeginRequest() 添加它

我已经在 global.asax 周围查找以获取 header 。它在管道的这一点上似乎不存在。我只能假设它是稍后注入(inject)的？

<customHeaders>
     <add name="Content-Security-Policy" value="myCsp nonce-{injectMe}" />
</customHeaders>

// would like to do something akin to this:
protected void Application_BeginRequest()
{
    var nonce = 'myNonce';
    Response.Headers["Content-Security.Policy"] =
        Response.Headers["Content-Security.Policy"].Replace("{injectMe}", nonce);
}

目标是将 CSP 保留在 web.config 中，并且在更改它时不必重建。

这可能吗？

Answer 1

我相信您正在寻找的是 Context.Response.Headers["Content-Security.Policy"].Replace("{injectMe}", nonce);

如果我是正确的，这应该会获取正在发起的请求的当前上下文。