Blazor应用添加UseHsts后，Maui端Strict Transport Security异常加载卡顿

要实现仅对MAUI端移除Strict Transport Security（HSTS）头、保留Wasm端的配置，核心思路是通过识别客户端类型动态控制HSTS头的添加，具体可通过以下两种方案实现：

方案一：通过User-Agent识别客户端 #

MAUI和Wasm的请求User-Agent存在差异，可据此判断是否添加HSTS头：

1. 移除全局的app.UseHsts()调用，该中间件会无条件给所有请求添加HSTS头，无法区分客户端。
2. 添加自定义中间件，根据User-Agent判断客户端类型：

// 保留原有HSTS配置
builder.Services.Configure<HstsOptions>(options =>
{
    options.ExcludedHosts.Clear();
    options.Preload = true;
    options.IncludeSubDomains = true;
    options.MaxAge = TimeSpan.FromDays(730);
});

// 在app.UseRouting()之后添加自定义中间件
app.Use(async (context, next) =>
{
    var userAgent = context.Request.Headers.UserAgent.ToString();
    var hstsOptions = context.RequestServices.GetRequiredService<IOptions<HstsOptions>>().Value;

    // 仅当客户端不是MAUI时，添加HSTS头
    if (!userAgent.Contains("MAUI", StringComparison.OrdinalIgnoreCase))
    {
        var hstsHeaderValue = $"max-age={(int)hstsOptions.MaxAge.TotalSeconds}";
        if (hstsOptions.IncludeSubDomains) hstsHeaderValue += "; includeSubDomains";
        if (hstsOptions.Preload) hstsHeaderValue += "; preload";
        
        context.Response.Headers.Append("Strict-Transport-Security", hstsHeaderValue);
    }

    await next();
});

注意：实际测试时可抓包查看MAUI请求的User-Agent具体内容，调整判断逻辑以确保准确识别。

方案二：通过自定义请求头识别客户端（更可靠） #

为避免User-Agent因版本变化导致识别失效，可在MAUI请求中添加自定义标识头，API端据此判断：

1. MAUI端配置HttpClient时添加自定义头：

var httpClient = new HttpClient();
httpClient.DefaultRequestHeaders.Add("X-Client-Type", "MAUI");

2. API端移除app.UseHsts()，添加自定义中间件：

// 保留原有HSTS配置
builder.Services.Configure<HstsOptions>(options =>
{
    options.ExcludedHosts.Clear();
    options.Preload = true;
    options.IncludeSubDomains = true;
    options.MaxAge = TimeSpan.FromDays(730);
});

// 自定义中间件控制HSTS头
app.Use(async (context, next) =>
{
    var isMauiClient = context.Request.Headers.TryGetValue("X-Client-Type", out var clientType) 
                       && clientType.Equals("MAUI", StringComparison.OrdinalIgnoreCase);
    var hstsOptions = context.RequestServices.GetRequiredService<IOptions<HstsOptions>>().Value;

    if (!isMauiClient)
    {
        var hstsHeaderValue = $"max-age={(int)hstsOptions.MaxAge.TotalSeconds}";
        if (hstsOptions.IncludeSubDomains) hstsHeaderValue += "; includeSubDomains";
        if (hstsOptions.Preload) hstsHeaderValue += "; preload";
        
        context.Response.Headers.Append("Strict-Transport-Security", hstsHeaderValue);
    }

    await next();
});

两种方案都能实现仅给Wasm端保留HSTS头，MAUI端跳过添加的需求，方案二更稳定，推荐使用。

内容的提问来源于stack exchange，提问作者T-BONE