IIS重写规则修改Content-Security-Policy头失效问题排查

问题根源 #

你当前的规则逻辑完全错误：<match>节点的serverVariable="RESPONSE_Content-Security-Policy"是用来匹配响应头CSP的内容字符串，而非请求的URL。当你把pattern改成*viewfile*时，规则会去检查CSP头里是否包含viewfile字样，而你的默认CSP头里根本没有这个字符串，所以规则永远不会触发，自然沿用customHeaders里的默认值。

正确配置方案 #

要实现「仅当请求URL包含viewfile时修改CSP头」，需要通过<conditions>节点匹配请求URL，而不是在<match>里错误地匹配响应头内容。以下是两种可行的配置：

1. Wildcard模式配置 #

<rewrite>
   <outboundRules>
      <rule name="Replace RESPONSE_Content_Security_Policy" patternSyntax="Wildcard" stopProcessing="true"> 
          <!-- 匹配所有CSP响应头（因为我们需要替换它） -->
          <match serverVariable="RESPONSE_Content-Security-Policy" pattern="*" />                 
          <!-- 添加条件：匹配请求URL包含viewfile -->
          <conditions>
              <add input="{REQUEST_URI}" pattern="*viewfile*" />
          </conditions>
          <action type="Rewrite" value="default-src 'none';" />
      </rule>                
   </outboundRules>   
</rewrite>

2. 正则表达式模式配置 #

如果更习惯用正则，可以将patternSyntax改为ECMAScript：

<rewrite>
   <outboundRules>
      <rule name="Replace RESPONSE_Content_Security_Policy" patternSyntax="ECMAScript" stopProcessing="true"> 
          <!-- 匹配任意内容的CSP响应头 -->
          <match serverVariable="RESPONSE_Content-Security-Policy" pattern=".*" />                 
          <!-- 正则匹配请求URL中的viewfile（大小写敏感，如需忽略加/i） -->
          <conditions>
              <add input="{REQUEST_URI}" pattern="viewfile" />
          </conditions>
          <action type="Rewrite" value="default-src 'none';" />
      </rule>                
   </outboundRules>   
</rewrite>

关键注意事项 #

• {REQUEST_URI}包含请求的路径和查询字符串，能覆盖你例子中admin/invoice/viewfile?viewid=xxx这类带参数的URL场景；如果只需匹配路径部分，可替换为{PATH_INFO}
• 确保IIS URL Rewrite模块已正确安装并启用，否则规则不会生效
• stopProcessing="true"会阻止后续出站规则执行，若有其他规则需要处理，可根据需求调整该参数

内容的提问来源于stack exchange，提问作者user13177131