.NET 9 Blazor中如何移除/替换自动生成的CSP frame-ancestors指令？

.NET 9的ASP.NET Core框架会自动给响应添加frame-ancestors 'self'的内容安全策略（CSP）指令，这就导致非同源域名无法把你的Blazor组件嵌入iframe，触发你遇到的"Refused to frame..."报错。下面是两种解决方式：

一、替换为自定义的宽松规则 #

在项目的Program.cs里，通过配置CSP服务指定允许的嵌入域名：

builder.Services.AddCsp(options =>
{
    // 保留默认的同源资源允许规则（按需调整）
    options.DefaultSources(s => s.Self());
    // 设置允许嵌入的域名，比如你的所有子域名
    options.FrameAncestors(s => s.CustomSources("*.mydomain.com"));
    // 其他CSP规则（如脚本、样式来源）可根据项目需求添加
});

如果更倾向直接操作响应头，也可以用中间件方式：

app.Use(async (context, next) =>
{
    // 先移除框架自动添加的CSP头
    context.Response.Headers.Remove("Content-Security-Policy");
    // 添加自定义的CSP规则
    context.Response.Headers.Append("Content-Security-Policy", "frame-ancestors *.mydomain.com; default-src 'self';");
    await next();
});

二、完全禁用自动添加的frame-ancestors限制（不推荐） #

如果不需要任何嵌入限制（安全性会降低，仅建议测试环境使用），可以设置允许所有域名嵌入：

builder.Services.AddCsp(options =>
{
    options.FrameAncestors(s => s.AllowAny());
});

注意事项 #

• 修改配置后务必重启应用，确保新的CSP规则生效
• 验证时打开Chrome开发者工具的「Network」标签，查看目标页面的响应头里Content-Security-Policy字段是否符合预期
• 尽量遵循最小权限原则，只添加你信任的域名，避免过度放宽带来安全风险

内容的提问来源于stack exchange，提问作者geoCode