ASP.NET MVC中CSP report-to指令无法上报至端点的问题排查

问题背景 #

在ASP.NET MVC应用中配置内容安全策略（CSP）时，report-uri指令可正常将违规报告发送至指定端点，但推荐使用的report-to指令在Chrome浏览器中无法工作，report-uri已被标记为弃用，需修复report-to的实现。

原代码问题分析 #

原report-to实现存在两个核心问题：

• Report-To 头格式错误：规范要求Report-To头的值是单个JSON对象，而非数组。你当前序列化了一个数组，导致浏览器无法解析该配置。
• 中间件执行顺序错误：如果CSP头是由后续中间件（如MVC中间件）生成的，提前读取会得到空字符串，导致report-to指令无法正确追加到CSP头中。

修复后的代码 #

修正的中间件代码 #

app.Use(async (context, next) =>
{
    // 先执行后续中间件，确保CSP头已被正确设置
    await next();

    // 构建符合规范的Report-To配置对象
    var reportToValue = new
    {
        group = "csp-endpoint",
        max_age = 10886400,
        endpoints = new[] { new { url = "https://localhost:6001/ApplicationLogs/CSPReport" } },
        include_subdomains = true
    };

    var reportToHeader = JsonSerializer.Serialize(reportToValue);
    context.Response.Headers["Report-To"] = reportToHeader;

    // 获取已存在的CSP头，追加report-to指令（避免重复添加）
    var cspHeader = context.Response.Headers["Content-Security-Policy"].ToString();
    if (!string.IsNullOrWhiteSpace(cspHeader) && !cspHeader.Contains("report-to"))
    {
        cspHeader += "; report-to csp-endpoint";
        context.Response.Headers["Content-Security-Policy"] = cspHeader;
    }
});

验证步骤 #

1. 中间件注册顺序：确保该中间件在app.UseRouting()之后、app.UseEndpoints()之前注册，保证能读取到后续中间件生成的CSP头。
2. Chrome调试验证：
   • 打开chrome://net-internals/#reporting，查看是否成功注册了csp-endpoint组的报告端点。
   • 触发CSP违规（比如加载未允许的资源），在开发者工具的Network面板检查是否有发送到报告端点的POST请求。
3. 端点兼容性：你的报告端点代码无需修改，已正确处理POST请求的体内容。

内容的提问来源于stack exchange，提问作者Ahmed