Blazor WebAssembly配置Strict-Transport-Security响应头方法及部署问题排查

你之前web.config部署失败的核心原因 #

• 错误引入了发布转换专用的xdt命名空间及对应Transform属性：这类属性是.NET发布管道打包时做配置替换用的，不是IIS运行时可识别的合法配置内容，会导致IIS加载web.config时直接抛出格式错误。
• 嵌套使用了未指定path属性的<location>标签，属于语法不完整的配置项，会让IIS判定整个配置文件非法，直接拒绝加载站点，自然部署失败。

关键认知前提 #

Blazor WebAssembly 独立项目是纯静态前端资源，本身没有内置的服务端运行时管道，没法像ASP.NET MVC项目那样通过Startup类注册中间件来添加响应头，所有响应头都必须由托管静态文件的服务器层统一配置。
而且HSTS头本身有生效前提：只有站点完全通过HTTPS提供服务时，浏览器才会识别并执行这个头的规则；如果还能通过HTTP协议访问站点，加了这个头也不会生效，甚至可能带来额外的访问问题。

对应场景的配置方法 #

场景1：部署在IIS环境（也就是你写web.config的初衷） #

直接使用去掉所有xdt配置的合法web.config即可，示例配置如下：

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <system.webServer>
    <security>
      <requestFiltering removeServerHeader="true" />
    </security>
    <httpProtocol>
      <customHeaders>
        <remove name="X-Powered-By" />
        <add name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains" />
      </customHeaders>
    </httpProtocol>
    <!-- 保留Blazor WASM必需的路由重写规则，避免深层路由访问出现404 -->
    <rewrite>
      <rules>
        <rule name="BlazorWasmFallback" stopProcessing="true">
          <match url=".*" />
          <conditions logicalGrouping="MatchAll">
            <add input="{REQUEST_FILENAME}" matchType="IsFile" negate="true" />
            <add input="{REQUEST_FILENAME}" matchType="IsDirectory" negate="true" />
          </conditions>
          <action type="Rewrite" url="/" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

配置注意点：

• 如果你使用.NET 6及以上版本的Blazor WASM项目发布，SDK会自动生成基础web.config和必需的路由重写规则，你只需要在项目根目录新增web.config，把<httpProtocol>下的customHeaders段落加进去就行，发布时会自动和SDK生成的配置合并，不需要手写完整的重写规则。
• 可以根据需求调整HSTS的max-age值，首次上线建议先用较小的max-age（比如300）验证站点完全可正常HTTPS访问后，再逐步增大到1年的周期。

场景2：非IIS的静态托管环境 #

如果是部署在Nginx、Apache这类传统Web服务器上，不需要写web.config，直接在站点的服务配置段中添加HSTS响应头规则即可。
如果是部署在各类云静态托管平台上，直接在平台的响应头配置面板中手动添加Strict-Transport-Security头规则，不需要修改项目内的任何文件。 #

内容的提问来源于stack exchange，提问作者Husam Ebish