如何配置ASP.Net Core Antiforgery支持Angular嵌入IFRAME

当Angular应用被第三方网站嵌入IFRAME时，需针对跨域场景调整Antiforgery的Cookie、CORS及安全策略配置，具体步骤如下：

1. 配置Antiforgery Cookie属性 #

跨域IFRAME场景下，Cookie的SameSite需设为None（允许跨域携带），同时强制开启Secure（仅HTTPS环境生效），并指定与Angular默认匹配的请求头名称：

builder.Services.AddAntiforgery(options =>
{
    // 允许跨域IFRAME携带Cookie
    options.Cookie.SameSite = SameSiteMode.None;
    // 仅HTTPS环境下发送Cookie（SameSite=None强制要求）
    options.Cookie.SecurePolicy = CookieSecurePolicy.Always;
    options.Cookie.HttpOnly = true;
    // 匹配Angular默认的XSRF请求头
    options.HeaderName = "X-XSRF-TOKEN";
});

2. 配置CORS策略允许第三方域名 #

需明确允许嵌入IFRAME的第三方网站域名，同时开启AllowCredentials以允许携带Cookie：

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowThirdPartyIframe", policy =>
    {
        // 替换为实际第三方网站域名，支持多个域名用逗号分隔
        policy.WithOrigins("https://third-party-site.com")
              .AllowAnyHeader()
              .AllowAnyMethod()
              .AllowCredentials(); // 必须开启，否则Cookie无法跨域携带
    });
});

// 在中间件管道中启用CORS（需放在UseRouting之后，UseAuthorization之前）
app.UseCors("AllowThirdPartyIframe");

3. 为Angular提供可读取的XSRF令牌 #

Angular默认会读取名为XSRF-TOKEN的非HttpOnly Cookie，并自动在请求头中携带X-XSRF-TOKEN。需后端提供接口生成并写入该Cookie：

private readonly IAntiforgery _antiforgery;

public YourController(IAntiforgery antiforgery)
{
    _antiforgery = antiforgery;
}

[HttpGet("api/get-xsrf-token")]
public IActionResult GetXsrfToken()
{
    var tokens = _antiforgery.GetAndStoreTokens(HttpContext);
    // 写入非HttpOnly Cookie，允许Angular读取
    Response.Cookies.Append("XSRF-TOKEN", tokens.RequestToken, new CookieOptions
    {
        HttpOnly = false,
        SameSite = SameSiteMode.None,
        Secure = true,
        // 若需跨子域，设置主域名（如.your-app-domain.com），否则留空
        Domain = ".your-app-domain.com"
    });
    return Ok();
}

Angular初始化时调用该接口即可自动获取令牌，后续HttpClient请求会自动携带XSRF头。

4. 配置CSP允许第三方网站嵌入 #

通过Content-Security-Policy的frame-ancestors指令，明确允许嵌入当前应用的第三方域名：

app.Use(async (context, next) =>
{
    context.Response.Headers.Add("Content-Security-Policy",
        // 允许自身域名和指定第三方域名嵌入
        "frame-ancestors 'self' https://third-party-site.com");
    await next();
});

避免使用通配符*，防止未授权网站嵌入应用。

5. 启用接口的Antiforgery验证 #

在需要验证的API端点添加[ValidateAntiForgeryToken]特性，确保请求携带有效的XSRF令牌：

[HttpPost("api/submit-data")]
[ValidateAntiForgeryToken]
public IActionResult SubmitData([FromBody] YourRequestModel model)
{
    // 业务逻辑处理
    return Ok("数据提交成功");
}

关键注意事项 #

• 必须使用HTTPS：SameSite=None要求Cookie为Secure类型，HTTP环境下浏览器会忽略该设置。
• 第三方Cookie权限：部分现代浏览器默认阻止第三方Cookie，需提示用户在浏览器设置中允许，或使用Partitioned Cookie（浏览器支持时），在CookieOptions中添加Partitioned = true。
• 最小权限原则：CORS和CSP策略仅添加必要的第三方域名，避免过度开放带来安全风险。

内容的提问来源于stack exchange，提问作者Turp