ASP.NET Forms中Content Security Policy内联样式违规问题求助

1. 禁用Login控件外层自动生成的表格 #

Login控件默认会在外层包裹一个带style="border-collapse:collapse"的table，即使自定义了LayoutTemplate也会自动生成。只需添加RenderOuterTable="False"属性即可消除这个内联样式：

<asp:Login ID="UserLogin" runat="server" class="loginControl" 
    FailureText="Email address or password is incorrect." OnLoggedIn="AfterLogin"
    OnLoginError="OnLoginError"
    MembershipProvider="SqlProvider"
    RenderOuterTable="False"> <!-- 添加该属性 -->
    <!-- 原有LayoutTemplate内容保持不变 -->
</asp:Login>

2. 替换控件属性为CSS类，避免生成内联样式 #

控件的Width、Font-Bold等属性会直接生成内联样式，改用CSS类替代即可：

（1）TextBox的Width属性 #

移除Width="180px"，改用CssClass绑定样式：

<asp:TextBox ID="UserName" runat="server" CssClass="login-input"></asp:TextBox>
<asp:TextBox ID="Password" runat="server" TextMode="Password" AutoCompleteType="Disabled" CssClass="login-input"></asp:TextBox>

在独立CSS文件中添加对应样式：

.login-input {
    width: 180px;
}

（2）Label的Font-Bold属性 #

将Font-Bold="True"替换为CssClass="fontbold"（与UserNameLabel保持一致）：

<asp:Label ID="PasswordLabel" runat="server" AssociatedControlID="Password" CssClass="fontbold">Password:</asp:Label>

CSS文件中已有对应样式：

.fontbold {
    font-weight: bold;
}

3. 处理RequiredFieldValidator的内联可见性样式 #

RequiredFieldValidator默认会生成style="visibility:hidden"，可通过以下两种方式解决：

方法A：修改Display属性并通过CSS控制显示 #

将Display="Dynamic"改为Display="None"，用CSS统一控制错误提示的显示：

<asp:RequiredFieldValidator ID="UserNameRequired" runat="server" ValidationGroup="UserLogin" 
    ToolTip="Email is required." ErrorMessage="User Name is required." 
    ControlToValidate="UserName" Display="None">*</asp:RequiredFieldValidator>

添加CSS样式控制验证失败时的显示：

/* 验证失败时显示错误提示 */
.login span[title] {
    visibility: visible !important;
}

方法B：后台代码清除内联样式 #

在页面Page_PreRender事件中递归遍历控件，清除Validator的内联样式：

protected void Page_PreRender(object sender, EventArgs e)
{
    ClearValidatorInlineStyles(UserLogin);
}

private void ClearValidatorInlineStyles(Control parent)
{
    foreach (Control control in parent.Controls)
    {
        if (control is BaseValidator validator)
        {
            validator.Style.Remove("visibility");
        }
        // 递归处理子控件
        ClearValidatorInlineStyles(control);
    }
}

4. 额外处理PostBack内联脚本（避免CSP脚本违规） #

生成的按钮带有内联onclick脚本，也会触发CSP违规，可将脚本注册到页面头部而非内联：

protected void Page_Load(object sender, EventArgs e)
{
    if (!IsPostBack)
    {
        // 为LoginButton注册PostBack脚本
        string postBackScript = $"WebForm_DoPostBackWithOptions(new WebForm_PostBackOptions('{LoginButton.UniqueID}', '', true, 'UserLogin', '', false, false));";
        ClientScript.RegisterClientScriptBlock(this.GetType(), "LoginPostBack", postBackScript, true);
        // 移除按钮的内联onclick属性
        LoginButton.Attributes.Remove("onclick");
    }
}

内容的提问来源于stack exchange，提问作者sona