ASP.NET Core部署IIS后嵌入Power BI报表遇CSP拦截问题排查

你的CSP配置存在语法错误：https://app.powerbi.com/没有绑定到具体的CSP指令，浏览器会忽略这部分无效配置，导致仍使用default-src 'self'作为框架加载的 fallback，因此Power BI的frame被拦截。

需要显式指定frame-src指令允许Power BI的域名，同时根据Power BI嵌入的实际需求，补充其他必要的指令（比如脚本、样式、图片等资源加载权限）。修改Program.cs中的中间件代码如下：

app.Use(async (context, next) =>
{
    context.Response.Headers.Add(
        "Content-Security-Policy", 
        "default-src 'self'; " +
        "frame-src https://app.powerbi.com/ https://*.powerbi.com/; " +
        "script-src 'self' https://app.powerbi.com/ https://*.powerbi.com/ 'unsafe-inline' 'unsafe-eval'; " +
        "style-src 'self' https://app.powerbi.com/ https://*.powerbi.com/ 'unsafe-inline'; " +
        "img-src 'self' https://app.powerbi.com/ https://*.powerbi.com/ data:; " +
        "connect-src 'self' https://api.powerbi.com/ https://*.powerbi.com/");

    await next();
});

关键说明： #

• frame-src：必须显式添加Power BI的域名（包括子域名），允许页面嵌入Power BI的框架。
• script-src：允许加载Power BI的脚本，unsafe-inline和unsafe-eval是Power BI嵌入所需的必要权限（部分脚本逻辑依赖内联或动态代码执行）。
• style-src：允许加载Power BI的样式资源，unsafe-inline处理内联样式。
• img-src：允许加载Power BI的图片资源，data:支持base64格式的图片。
• connect-src：允许Power BI嵌入时的API请求（比如获取报表数据）。

• 中间件顺序：确保这个CSP中间件在app.UseStaticFiles()、app.UseRouting()、app.UseAuthorization()等中间件之前注册，保证所有响应都能带上正确的CSP头。
• IIS响应头冲突：检查IIS站点的HTTP响应头配置，是否存在重复的Content-Security-Policy设置，如果有需要删除，避免和ASP.NET Core的配置冲突。
• 测试验证：部署后打开浏览器控制台，查看Network面板中页面响应的Content-Security-Policy头是否正确加载，确认没有语法错误。

内容的提问来源于stack exchange，提问作者caitlin wardle