FastAPI中为静态文件添加自定义请求头的方法

我们使用如下方法挂载目录中的静态文件：

app.mount("/static", StaticFiles(directory="static"), name="static")

此前我们已通过通用方法在向客户端返回API响应前添加了安全相关的自定义请求头，请问是否可为CSS/JS/HTML等静态文件添加同类安全请求头？想了解为静态文件添加自定义请求头的具体方式或实现思路。

当然可以给静态文件添加安全相关的自定义请求头，以下是几种可行的实现方式：

1. 自定义StaticFiles子类 #

通过继承StaticFiles类并重写get_response方法，在返回响应前注入自定义请求头：

from fastapi import FastAPI
from fastapi.staticfiles import StaticFiles

class CustomStaticFiles(StaticFiles):
    def get_response(self, path: str, scope):
        response = super().get_response(path, scope)
        # 添加安全相关请求头，示例如下
        response.headers["Content-Security-Policy"] = "default-src 'self'"
        response.headers["X-Content-Type-Options"] = "nosniff"
        response.headers["X-Frame-Options"] = "DENY"
        return response

app = FastAPI()
# 使用自定义类挂载静态文件
app.mount("/static", CustomStaticFiles(directory="static"), name="static")

2. 修改通用中间件适配静态文件 #

如果已有添加安全头的通用中间件，可修改其逻辑，让它也对静态文件路径生效：

from fastapi import FastAPI, Request
from fastapi.staticfiles import StaticFiles
from starlette.middleware.base import BaseHTTPMiddleware
from starlette.responses import Response

app = FastAPI()
app.mount("/static", StaticFiles(directory="static"), name="static")

class SecurityHeadersMiddleware(BaseHTTPMiddleware):
    async def dispatch(self, request: Request, call_next):
        response: Response = await call_next(request)
        # 匹配静态文件路径
        if request.url.path.startswith("/static/"):
            # 注入安全请求头
            response.headers["Content-Security-Policy"] = "default-src 'self'"
            response.headers["X-Content-Type-Options"] = "nosniff"
            response.headers["X-Frame-Options"] = "DENY"
        # 保留原有API请求的头处理逻辑
        else:
            # 此处添加原API请求的安全头代码
            pass
        return response

app.add_middleware(SecurityHeadersMiddleware)

3. 反向代理层配置（如Nginx） #

如果服务前端有反向代理，可直接在代理配置中给静态文件路径添加请求头，无需修改FastAPI代码：

location /static/ {
    root /path/to/your/static/directory;
    add_header Content-Security-Policy "default-src 'self'";
    add_header X-Content-Type-Options nosniff;
    add_header X-Frame-Options DENY;
}

注意事项 #

• 验证请求头是否生效：可通过浏览器开发者工具的Network面板查看静态文件的响应头，或用curl -I http://your-domain/static/your-file.css命令检查。
• 可根据文件类型（如.html、.js）做针对性配置，在自定义StaticFiles类中通过判断path后缀来设置不同的请求头。

内容的提问来源于stack exchange，提问作者sujata singh