Blazor应用IIS部署后出现重复frame-ancestors CSP问题排查

场景背景 #

我将Web应用（sub.domain.com）部署到IIS虚拟服务器，希望在www.otherdomain.com的iframe中嵌入该应用。初始web.config无CSP指令，通过IIS自定义键值对添加配置后，web.config内容如下：

<httpProtocol>
     <customHeaders>
          <add name="Content-Security-Policy" value="frame-ancestors *.otherdomain.com www.otherdomain.com" />
     </customHeaders>
</httpProtocol>

但嵌入时出现报错：

Refused to frame 'https://sub.domain.com' because an ancestor violates the following Content Security Policy directive: "frame-ancestors 'self'"

通过Chrome开发者工具发现，响应头存在两个不同的frame-ancestors指令。

问题解答 #

1. 首个指令"frame-ancestors 'self'"可能由谁自动生成？IIS还是Chrome？ #

由IIS（或应用程序依赖的服务器端框架）自动生成。Chrome不会主动添加CSP响应头，这类默认指令通常来自服务器配置：比如站点级别的IIS自定义头设置、ASP.NET等框架的默认模板配置，或是IIS相关模块注入的规则。

2. 若存在两个头，通过IIS添加的自定义指令是否会被忽略？ #

不会完全忽略，但浏览器会合并所有CSP指令并取最严格的交集规则。两个frame-ancestors规则会被合并，最终生效的是同时满足两个规则的来源——'self'和*.otherdomain.com的交集只有sub.domain.com自身，导致www.otherdomain.com无法嵌入，触发报错。

3. 可尝试哪些方法解决该错误？ #

• 定位并移除自动生成'self'的来源：
  • 检查服务器或站点级别的IIS自定义头配置，确认是否已存在Content-Security-Policy条目；
  • 排查应用代码或框架配置（比如ASP.NET的Startup文件、web.config其他节点），看是否有注入CSP的逻辑；
  • 检查IIS的URL Rewrite模块规则，确认是否有规则添加了该头。
• 先移除再添加合并后的规则：
  若无法找到自动添加的来源，可在web.config中先移除已存在的Content-Security-Policy头，再添加包含所有允许来源的规则：

  <httpProtocol>
       <customHeaders>
            <remove name="Content-Security-Policy" />
            <add name="Content-Security-Policy" value="frame-ancestors 'self' *.otherdomain.com www.otherdomain.com" />
       </customHeaders>
  </httpProtocol>
  

• 验证响应头：修改后重启IIS，通过Chrome开发者工具的Network面板查看响应头，确保仅存在一个Content-Security-Policy头，且包含所有需要的允许来源。

内容的提问来源于stack exchange，提问作者geoCode