MVC(Razor)应用中特定页面如何替换web.config的CSP头部？

一、web.config里的CSP头部什么时候插进去的？ #

web.config中<httpProtocol><customHeaders>配置的响应头部，是在ASP.NET请求管道的后期阶段（比如PreSendRequestHeaders事件触发时）才被加到响应里的，这个时机比控制器Action方法执行的时间晚。所以你在Action里先删旧CSP再加新的之后，后面的管道步骤又会把web.config里的CSP给插回去，最后响应里就出现两个CSP头部了。

二、怎么让特定页面只留代码里的CSP？ #

根据你用的ASP.NET版本，给你两种可行方案：

方案1：ASP.NET Core（包括Razor Pages和MVC）—— 用中间件 #

写个自定义中间件，在响应要发出去之前检查请求路径，针对目标页面处理CSP：

public class CspOverrideMiddleware
{
    private readonly RequestDelegate _next;

    public CspOverrideMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        // 先跑完后续的管道逻辑（包括你Action里的代码）
        await _next(context);

        // 判断是不是目标页面，比如匹配特定路由或页面路径
        if (context.Request.Path.StartsWithSegments("/YourTargetPage") || 
            context.Request.Path.StartsWithSegments("/YourController/YourAction"))
        {
            // 把web.config加的CSP删掉，只留Action里设置的
            context.Response.Headers.Remove("Content-Security-Policy");
            // 要是不想在Action里设置，也可以直接在这儿加你要的CSP规则
            // context.Response.Headers.Add("Content-Security-Policy", "default-src 'self'");
        }
    }
}

然后在Program.cs里注册这个中间件（注意要放在路由中间件前面）：

var app = builder.Build();

// 注册CSP覆盖中间件
app.UseMiddleware<CspOverrideMiddleware>();

app.UseRouting();
// ...其他中间件配置

方案2：ASP.NET Framework MVC —— 用PreSendRequestHeaders事件 #

在Global.asax.cs里加个事件处理方法，在响应发送前调整CSP：

protected void Application_PreSendRequestHeaders(object sender, EventArgs e)
{
    var httpContext = HttpContext.Current;
    var response = httpContext.Response;
    var request = httpContext.Request;

    // 判断当前请求是不是目标页面，比如匹配Action的路径
    if (request.Url.AbsolutePath.Equals("/YourController/YourAction", StringComparison.OrdinalIgnoreCase))
    {
        if (response.Headers["Content-Security-Policy"] != null)
        {
            // 删掉原有CSP，加自定义规则
            response.Headers.Remove("Content-Security-Policy");
            response.Headers.Add("Content-Security-Policy", "default-src 'self'");
        }
    }
}

备选方案：干脆把web.config的CSP删掉，全用代码控制 #

把web.config里的CSP配置改成移除项，然后用中间件或者全局过滤器设置全局CSP，特定页面在Action里直接覆盖就行：

<httpProtocol>
  <customHeaders>
    <remove name="Content-Security-Policy" />
  </customHeaders>
</httpProtocol>

这种方式更省心，所有CSP规则都由代码管，不会出现配置和代码打架的情况。

内容的提问来源于stack exchange，提问作者Kithsiri Lekamge