Chrome忽略CSP配置导致.NET Core ASP.NET应用Browser Link失效问题

• 优先排查HTTP响应头的CSP优先级问题
  这是同类问题最常见的根因：CSP的HTTP响应头优先级远高于页面meta标签内的CSP配置，即便你在布局文件的meta里写了正确的规则，只要服务端返回的响应头中带有Content-Security-Policy字段，就会优先使用响应头的配置，忽略meta的内容。
  排查方式：打开Chrome开发者工具「网络」面板，刷新页面后选中当前页面的主请求，查看响应头列表中是否存在Content-Security-Policy项，如果存在且值为default-src 'self'即可确认问题。
  对应解决方案：
  • 如果使用了ASP.NET Core官方的安全头中间件、或者第三方SecurityHeaders类库，直接修改中间件的CSP配置，除了default-src https://localhost:*之外，还要额外给connect-src加上ws://localhost:* wss://localhost:*适配Browser Link的WebSocket连接需求
  • 如果是通过web.config、IIS/nginx反向代理配置了CSP响应头，修改对应位置的CSP规则即可
• 检查meta标签的合法性
  确保你的CSP meta标签满足以下要求：
  • 放在<head>标签的最顶部，早于所有CSS、JS、字体等其他外部资源的引用标签
  • 属性拼写完全正确：http-equiv="Content-Security-Policy"，不存在拼写错误或者属性值缺失
• 临时测试排查规则冲突
  可以先替换为宽松的CSP规则做验证：default-src * 'unsafe-inline' 'unsafe-eval'; connect-src * ws: wss:，如果替换后Browser Link正常运行，再逐步缩紧规则范围即可

内容的提问来源于stack exchange，提问作者chesco