ASP.NET MVC5应用iframe可嵌入域名白名单的安全配置方法

你需要的效果可以通过CSP标准的frame-ancestors指令实现，这是目前W3C推荐的替代旧版X-Frame-Options的安全方案，完全兼容你的需求：默认保留同域嵌入权限，仅额外放行指定合作方域名，拦截所有其他未授权域名的嵌入请求。

具体可以选择以下两种实现方式：

方式1：自定义ActionFilter（推荐，灵活度更高） #

适合需要灵活控制生效范围的场景，可全局生效，也可仅给指定页面/接口单独配置。

1. 新建自定义过滤器类

using System.Web.Mvc;

public class AllowIframeDomainFilter : ActionFilterAttribute
{
    // 按实际需求替换为合作方的完整域名，多个域名用空格分隔，必须带http/https前缀
    private const string AllowDomains = "'self' https://partner-a.com https://partner-b.com";

    public override void OnResultExecuted(ResultExecutedContext filterContext)
    {
        var response = filterContext.HttpContext.Response;
        // 移除MVC默认可能生成的X-Frame-Options头，避免和CSP配置冲突
        response.Headers.Remove("X-Frame-Options");
        // 添加CSP响应头
        response.Headers.Add("Content-Security-Policy", $"frame-ancestors {AllowDomains};");
        
        base.OnResultExecuted(filterContext);
    }
}

2. 注册过滤器

• 要是需要全局所有页面生效，在App_Start/FilterConfig.cs中添加全局注册：

public class FilterConfig
{
    public static void RegisterGlobalFilters(GlobalFilterCollection filters)
    {
        filters.Add(new HandleErrorAttribute());
        // 新增这一行注册全局过滤器
        filters.Add(new AllowIframeDomainFilter());
    }
}

• 要是仅需要部分页面允许合作方嵌入，不需要全局注册，直接在对应的Controller或Action头上加[AllowIframeDomainFilter]属性即可，未加属性的页面默认仅允许同域嵌入。

方式2：web.config直接配置（无需修改代码） #

适合全局统一规则的场景，直接修改配置文件即可生效：
在web.config的system.webServer节点下添加如下配置：

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <remove name="X-Frame-Options" />
      <!-- 替换value中的合作方域名为实际值即可 -->
      <add name="Content-Security-Policy" value="frame-ancestors 'self' https://partner-domain.com;" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

验证和注意事项 #

• 测试阶段可以先把图名改为Content-Security-Policy-Report-Only，该模式下只会在浏览器控制台打印违规日志不会实际拦截请求，确认配置规则无误后再换回正式头名
• 不需要保留旧的X-Frame-Options: ALLOW-FROM配置，该属性已被主流浏览器废弃，frame-ancestors完全覆盖其能力且支持多域名配置，兼容所有现代浏览器
• 配置完成后可以通过浏览器开发者工具的网络面板，查看页面响应头是否携带正确的CSP配置，分别用同域、合作方域名、其他第三方域名嵌入测试，未授权域名嵌入时浏览器会直接拦截并在控制台打印CSP违规提示，即为配置生效。

内容的提问来源于stack exchange，提问作者amartin