如何为System.Web.UI.HTMLControls的HTMLForm实现严格CSP

方法1：自定义HtmlForm控件+标签映射（最推荐，侵入性最低） #

ASP.NET WebForms 自动生成的form内联onsubmit属性是在HtmlForm控件的OnPreRender阶段注入的，你可以通过自定义控件提前移除该属性，再通过非内联方式绑定提交事件，无需修改母版页的自动生成代码。

步骤1：创建兼容CSP的自定义Form控件 #

using System;
using System.Web.UI.HtmlControls;

namespace 你的项目命名空间
{
    public class CspCompatibleForm : HtmlForm
    {
        protected override void OnPreRender(EventArgs e)
        {
            base.OnPreRender(e);
            // 移除自动生成的内联onsubmit属性
            if (Attributes.ContainsKey("onsubmit"))
            {
                Attributes.Remove("onsubmit");
            }
            // 注册非内联的提交事件绑定脚本
            string bindScript = $@"
document.getElementById('{ClientID}').addEventListener('submit', function(e) {{
    // 复用原有验证逻辑，不影响老的自定义验证器运行
    if (!WebForm_OnSubmit()) {{
        e.preventDefault();
    }}
}});";
            Page.ClientScript.RegisterStartupScript(GetType(), $"BindFormSubmit_{ClientID}", bindScript, true);
        }
    }
}

步骤2：配置标签映射自动替换默认Form #

在web.config中添加如下配置，ASP.NET会自动将项目中所有默认HtmlForm替换为你自定义的控件，无需修改母版页的设计器代码：

<system.web>
  <pages>
    <tagMapping>
      <add 
        tagType="System.Web.UI.HtmlControls.HtmlForm" 
        mappedTagType="你的项目命名空间.CspCompatibleForm"
      />
    </tagMapping>
  </pages>
</system.web>

方法2：使用控件适配器拦截渲染 #

如果不希望全局替换Form控件，可以使用控件适配器单独拦截Form的渲染过程，过滤onsubmit属性。

步骤1：创建Form控件适配器 #

using System.Web.UI;
using System.Web.UI.Adapters;
using System.Web.UI.HtmlControls;

namespace 你的项目命名空间
{
    public class CspFormAdapter : ControlAdapter
    {
        protected override void Render(HtmlTextWriter writer)
        {
            var form = Control as HtmlForm;
            if (form != null && form.Attributes.ContainsKey("onsubmit"))
            {
                form.Attributes.Remove("onsubmit");
                // 此处添加和方法1相同的事件绑定脚本注册逻辑即可
                string bindScript = $@"
document.getElementById('{form.ClientID}').addEventListener('submit', function(e) {{
    if (!WebForm_OnSubmit()) {{
        e.preventDefault();
    }}
}});";
                form.Page.ClientScript.RegisterStartupScript(GetType(), $"BindFormSubmit_{form.ClientID}", bindScript, true);
            }
            base.Render(writer);
        }
    }
}

步骤2：注册适配器 #

在项目的App_Browsers文件夹下新建FormAdapter.browser文件，添加如下配置：

<browsers>
  <browser refID="Default">
    <controlAdapters>
      <adapter 
        controlType="System.Web.UI.HtmlControls.HtmlForm" 
        adapterType="你的项目命名空间.CspFormAdapter" 
      />
    </controlAdapters>
  </browser>
</browsers>

注意事项 #

• 原有WebForm_OnSubmit是ASP.NET自动生成的全局函数，只要页面存在验证控件就会正常加载，复用该方法可以完全保留原有自定义验证器的逻辑，不需要修改老代码。
• 两种方案都不需要放宽CSP的unsafe-inline规则，完全符合合规要求。

内容的提问来源于stack exchange，提问作者Elijah1210