ASP.NET Core中如何配置仅允许特定页面被外域iframe嵌入

你之前在中间件中拿不到X-Frame-Options头的核心原因是中间件注册顺序不对，你把自定义中间件放在了管道靠前的位置，而X-Frame-Options头是由后续的Antiforgery中间件、MVC中间件生成的，OnStarting事件是按照中间件注册顺序倒序触发的，你放在前面的中间件的OnStarting触发时，后续中间件还没有写入响应头，自然获取不到。以下是完整实现方案：

第一步：调整全局基础配置 #

首先关闭Antiforgery自动生成X-Frame-Options头的逻辑，避免和我们自定义的头控制逻辑冲突，同时删除web.config里全局配置的Content-Security-Policy、X-Frame-Options相关节点：

public static void AddAntiForgery(this IServiceCollection services)
{
  services.AddAntiforgery(options =>
  {                
      options.Cookie.SecurePolicy = CookieSecurePolicy.SameAsRequest;                
      options.Cookie.HttpOnly = true;
      options.Cookie.Name = "_app";
      options.Cookie.SameSite = SameSiteMode.Strict;
      // 关闭默认生成逻辑，改为手动控制头输出
      options.SuppressXFrameOptionsHeader = true;
  });
}

第二步：编写自定义头控制中间件 #

中间件负责全局统一控制iframe嵌入权限，核心逻辑是：默认所有页面仅允许同域iframe嵌入，仅指定路径页面允许配置的外域嵌入：

public class IframeControlMiddleware
{
    private readonly RequestDelegate _next;
    // 允许外域嵌入的页面路径列表，按实际业务调整
    private readonly List<string> _allowIframePaths = new List<string>
    {
        "/public/share",
        "/embed/media-player"
    };
    // 允许嵌入的外域列表，按实际业务调整
    private readonly string _allowFrameAncestors = "'self' *.your-allow-domain.com";

    public IframeControlMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task Invoke(HttpContext context)
    {
        context.Response.OnStarting(() =>
        {
            // 先清理已有的相关响应头，避免冲突
            if (context.Response.Headers.ContainsKey("X-Frame-Options"))
            {
                context.Response.Headers.Remove("X-Frame-Options");
            }
            if (context.Response.Headers.ContainsKey("Content-Security-Policy"))
            {
                var existingCsp = context.Response.Headers["Content-Security-Policy"].ToString();
                // 移除已有的frame-ancestors配置
                var newCsp = string.Join(";", existingCsp.Split(';').Where(x => !x.TrimStart().StartsWith("frame-ancestors")));
                context.Response.Headers["Content-Security-Policy"] = newCsp;
            }

            var currentPath = context.Request.Path.ToString().ToLower();
            if (_allowIframePaths.Any(p => currentPath.StartsWith(p.ToLower())))
            {
                // 允许嵌入的页面：配置指定外域权限
                context.Response.Headers.Append("Content-Security-Policy", $"frame-ancestors {_allowFrameAncestors};");
                // 如需兼容不支持CSP的旧浏览器，可加X-Frame-Options头，注意该头仅支持单个域名配置
                // context.Response.Headers.Append("X-Frame-Options", "ALLOW-FROM https://your-allow-domain.com");
            }
            else
            {
                // 普通页面：仅允许同域嵌入
                context.Response.Headers.Append("Content-Security-Policy", "frame-ancestors 'self';");
                context.Response.Headers.Append("X-Frame-Options", "SAMEORIGIN");
            }
            return Task.CompletedTask;
        });
        await _next(context);
    }
}

第三步：注册中间件 #

必须把该中间件放在管道的最末尾注册，确保能拦截到所有中间件生成的响应头：

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    // 其余所有中间件（UseRouting、UseCors、UseAuthentication、UseEndpoints等）都放在前面
    app.UseEndpoints(endpoints =>
    {
        endpoints.MapControllerRoute(
            name: "default",
            pattern: "{controller=Home}/{action=Index}/{id?}");
    });
    // 放在最后注册
    app.UseMiddleware<IframeControlMiddleware>();
}

可选灵活配置方案 #

如果不想硬编码路径，可自定义标记Attribute，给允许嵌入的Controller/Action打标记，配合ResultFilter实现权限控制，适合动态路由场景：

[AttributeUsage(AttributeTargets.Method | AttributeTargets.Class)]
public class AllowIframeEmbedAttribute : Attribute
{
}

在过滤器中判断当前Action是否有该标记，再设置对应的响应头即可，逻辑和中间件一致。

注：CORS配置和iframe嵌入权限是两个独立的安全策略，你当前的CORS配置不需要调整。

内容的提问来源于stack exchange，提问作者Divyang Desai