HTTPS适配的ASP.NET站点是否需配置X-XSS-Protection及配置方法

一、HTTPS适配后是否仍需配置X-XSS-Protection响应头 #

需要，HTTPS与X-XSS-Protection解决的是完全不同维度的安全问题：

• HTTPS属于传输层安全机制，仅保障客户端和服务端之间的数据传输不被窃听、篡改、伪造，无法防御应用层的XSS注入攻击
• XSS攻击是攻击者向应用页面注入恶意脚本实现的攻击行为，和传输层是否加密无关，哪怕全站启用HTTPS，反射型XSS的攻击链仍然可以正常触发
• 显式配置该头可以统一不同版本浏览器的XSS防护行为，作为内容安全策略（CSP）的补充防护方案，对未支持CSP的旧版浏览器也能提供基础防护能力

二、全局配置响应头的实现方法 #

1. IIS服务器层面配置（无需修改应用代码，站点全局生效） #

在站点根目录的web.config文件中，找到<system.webServer>节点，添加如下配置：

<system.webServer>
  <httpProtocol>
    <customHeaders>
      <add name="X-XSS-Protection" value="1; mode=block" />
    </customHeaders>
  </httpProtocol>
</system.webServer>

配置说明：1表示开启XSS防护，mode=block表示检测到攻击时直接阻止页面加载，比默认的脚本过滤模式防护效果更好。

2. ASP.NET应用代码层面配置 #

针对ASP.NET Framework

在项目的Global.asax文件中，添加Application_BeginRequest事件处理逻辑：

protected void Application_BeginRequest(object sender, EventArgs e)
{
    HttpContext.Current.Response.AddHeader("X-XSS-Protection", "1; mode=block");
}

针对ASP.NET Core

在中间件配置逻辑（通常位于Program.cs或Startup.cs）中添加如下代码：

app.Use(async (context, next) =>
{
    context.Response.Headers.TryAdd("X-XSS-Protection", "1; mode=block");
    await next();
});

内容的提问来源于stack exchange，提问作者Faran Saleem