這篇文章給大家分享的是有關(guān)ASP.NET Core中怎么利用Csp標(biāo)頭對(duì)抗Xss攻擊的內(nèi)容。小編覺得挺實(shí)用的，因此分享給大家做個(gè)參考，一起跟隨小編過來看看吧。
創(chuàng)新互聯(lián)建站專注于北湖企業(yè)網(wǎng)站建設(shè),響應(yīng)式網(wǎng)站開發(fā),商城系統(tǒng)網(wǎng)站開發(fā)。北湖網(wǎng)站建設(shè)公司,為北湖等地區(qū)提供建站服務(wù)。全流程按需策劃，專業(yè)設(shè)計(jì)，全程項(xiàng)目跟蹤，創(chuàng)新互聯(lián)建站專業(yè)和態(tài)度為您提供的服務(wù)內(nèi)容安全策略（CSP）是一個(gè)增加的安全層，可幫助檢測(cè)和緩解某些類型的攻擊，包括跨站點(diǎn)腳本（XSS）和數(shù)據(jù)注入攻擊。這些攻擊用于從數(shù)據(jù)竊取到站點(diǎn)破壞或惡意軟件分發(fā)的所有內(nèi)容（深入CSP）
簡而言之，CSP是網(wǎng)頁控制允許加載哪些資源的一種方式。例如，頁面可以顯式聲明允許從中加載JavaScript，CSS和圖像資源。這有助于防止跨站點(diǎn)腳本（XSS）攻擊等問題。
它也可用于限制協(xié)議，例如限制通過HTTPS加載的內(nèi)容。CSP通過 Content-Security-Policy HTTP響應(yīng)中的標(biāo)頭實(shí)現(xiàn)。
啟用CSP,您需要配置Web服務(wù)器以返回Content-Security-Policy HTTP標(biāo)頭。那么在這篇文章中，我們將要嘗試將CSP添加到ASP.NET Core應(yīng)用程序中。
重慶分公司
重慶分公司
app.Use(async (ctx, next) =>
{
ctx.Response.Headers.Add("Content-Security-Policy",
"default-src 'self'; report-uri /cspreport");
await next();
});在Home/Index中引入cdn文件，然后我們啟動(dòng)項(xiàng)目，看看會(huì)發(fā)生什么！
運(yùn)行并觀察錯(cuò)誤。加載頁面時(shí)，瀏覽器拒絕從遠(yuǎn)程源加載。
所以我們可以組織CSP來控制我們的白名單，在配置當(dāng)中需要填寫來源以及內(nèi)容，以下是常用限制的選項(xiàng)。
來源：
*: 允許任何網(wǎng)址。
‘self': 允許所提供頁面的來源。請(qǐng)注意，單引號(hào)是必需的。
‘none': 不允許任何來源。請(qǐng)注意，單引號(hào)是必需的。
Host: 允許指定的互聯(lián)網(wǎng)主機(jī)（按名稱或IP地址）。通配符（星號(hào)字符）可用于包括所有子域，例如http：//*.foo.com
‘unsafe-line': 允許內(nèi)聯(lián)腳本
‘nonce-[base64-value]': 允許具有特定nonce的內(nèi)聯(lián)腳本（使用一次的數(shù)字）。對(duì)于每個(gè)HTTP請(qǐng)求/響應(yīng)，應(yīng)該對(duì)nonce進(jìn)行加密和。
指令：
script-src：定義有效的JavaScript源
style-src：定義樣式表的有效來源
img-src：定義有效的圖像源
connect-src：定義可以進(jìn)行AJAX調(diào)用的有效源
font-src：定義有效的字體來源
object-src：定義
我們可以在可重用的中間件中封裝構(gòu)建和添加CSP頭。以下是一個(gè)讓您入門的示例。你可以根據(jù)需要擴(kuò)展它。首先，創(chuàng)建一個(gè)用于保存源的類。
public class CspOptions
{
public List Defaults { get; set; } = new List();
public List Scripts { get; set; } = new List();
public List Styles { get; set; } = new List();
public List Images { get; set; } = new List();
public List Fonts { get; set; } = new List();
public List Media { get; set; } = new List();
} 開發(fā)一個(gè)中間件一定是需要一個(gè)構(gòu)造器的，這將用于.net core 的注入到運(yùn)行環(huán)境中。
public sealed class CspOptionsBuilder
{
private readonly CspOptions options = new CspOptions();
internal CspOptionsBuilder() { }
public CspDirectiveBuilder Defaults { get; set; } = new CspDirectiveBuilder();
public CspDirectiveBuilder Scripts { get; set; } = new CspDirectiveBuilder();
public CspDirectiveBuilder Styles { get; set; } = new CspDirectiveBuilder();
public CspDirectiveBuilder Images { get; set; } = new CspDirectiveBuilder();
public CspDirectiveBuilder Fonts { get; set; } = new CspDirectiveBuilder();
public CspDirectiveBuilder Media { get; set; } = new CspDirectiveBuilder();
internal CspOptions Build()
{
this.options.Defaults = this.Defaults.Sources;
this.options.Scripts = this.Scripts.Sources;
this.options.Styles = this.Styles.Sources;
this.options.Images = this.Images.Sources;
this.options.Fonts = this.Fonts.Sources;
this.options.Media = this.Media.Sources;
return this.options;
}
}
public sealed class CspDirectiveBuilder
{
internal CspDirectiveBuilder() { }
internal List Sources { get; set; } = new List();
public CspDirectiveBuilder AllowSelf() => Allow("'self'");
public CspDirectiveBuilder AllowNone() => Allow("none");
public CspDirectiveBuilder AllowAny() => Allow("*");
public CspDirectiveBuilder Allow(string source)
{
this.Sources.Add(source);
return this;
}
} 好了，我們創(chuàng)建一個(gè)中間件。
namespace XSSDefenses.XSSDefenses.MiddlerWare
{
public sealed class CspOptionMiddlerWare
{
private const string HEADER = "Content-Security-Policy";
private readonly RequestDelegate next;
private readonly CspOptions options;
public CspOptionMiddlerWare(
RequestDelegate next, CspOptions options)
{
this.next = next;
this.options = options;
}
public async Task Invoke(HttpContext context)
{
context.Response.Headers.Add(HEADER, GetHeaderValue());
await this.next(context);
}
private string GetHeaderValue()
{
var value = "";
value += GetDirective("default-src", this.options.Defaults);
value += GetDirective("script-src", this.options.Scripts);
value += GetDirective("style-src", this.options.Styles);
value += GetDirective("img-src", this.options.Images);
value += GetDirective("font-src", this.options.Fonts);
value += GetDirective("media-src", this.options.Media);
return value;
}
private string GetDirective(string directive, List sources)
=> sources.Count > 0 ? $"{directive} {string.Join(" ", sources)}; " : "";
}
} 以及設(shè)置它的擴(kuò)展方法。
namespace XSSDefenses.XSSDefenses.Extensions
{
public static class CspMiddlewareExtensions
{
public static IApplicationBuilder UseCsp(
this IApplicationBuilder app, Action builder)
{
var newBuilder = new CspOptionsBuilder();
builder(newBuilder);
var options = newBuilder.Build();
return app.UseMiddleware(options);
}
}
} 我們現(xiàn)在可以在Startup類中配置中間件。
app.UseCsp(builder =>
{
builder.Styles.AllowSelf()
.Allow(@"https://ajax.aspnetcdn.com/");
});啟動(dòng)發(fā)現(xiàn)，觀察網(wǎng)絡(luò)資源。瀏覽器已經(jīng)允許本地和遠(yuǎn)程資源。
感謝各位的閱讀！關(guān)于“ASP.NET Core中怎么利用Csp標(biāo)頭對(duì)抗Xss攻擊”這篇文章就分享到這里了，希望以上內(nèi)容可以對(duì)大家有一定的幫助，讓大家可以學(xué)到更多知識(shí)，如果覺得文章不錯(cuò)，可以把它分享出去讓更多的人看到吧！
