如何在IdentityServer4中允许使用Google字体？附IdentityServer3配置经验

和你在IdentityServer3里遇到的情况类似，直接用<meta>标签配置CSP经常会因为框架本身的HTTP头优先级更高而失效，所以推荐直接通过IdentityServer4提供的配置项来设置内容安全策略，这样更可靠。

具体配置步骤： #

在你的项目Startup.cs（或者.NET 6+的Program.cs）的服务配置部分，找到AddIdentityServer()的代码块，通过options.Csp来配置允许的源：

services.AddIdentityServer(options =>
{
    // 开启CSP功能
    options.Csp.Enabled = true;
    
    // 允许加载Google字体的样式表，同时保留对自身站点和必要内联样式的支持
    options.Csp.StyleSrc = "'self' 'unsafe-inline' https://fonts.googleapis.com";
    
    // 允许加载Google字体的字体文件，data:用于支持可能的base64嵌入字体（可选但建议加上）
    options.Csp.FontSrc = "'self' https://fonts.gstatic.com data:";
    
    // 其他IdentityServer配置项...
})
// 后续的服务注册，比如AddInMemoryClients、AddInMemoryIdentityResources等
.AddInMemoryClients(Config.Clients)
.AddInMemoryIdentityResources(Config.IdentityResources)
// ...其他必要配置

配置说明： #

• StyleSrc中加入https://fonts.googleapis.com：因为Google字体的样式表托管在这个域名下，需要允许加载该来源的样式文件。
• FontSrc中加入https://fonts.gstatic.com：Google字体的实际字体文件存储在这个域名，必须允许才能正常加载字体。
• 'unsafe-inline'：如果你的页面中存在内联样式引用字体，或者Google字体的样式包含内联代码，这个选项是必要的；如果你的页面完全使用外部样式表，可以尝试移除它，但建议先保留以避免样式加载失败。

为什么不用<meta>标签？ #

IdentityServer4默认会通过HTTP头发送CSP规则，而HTTP头的CSP优先级高于页面内的<meta>标签配置，所以即使你在页面里加了<meta>标签，也会被框架发送的HTTP头覆盖，导致配置无效。使用框架提供的CspOptions可以确保规则被正确添加到HTTP头中，生效更稳定。

验证配置是否生效： #

你可以打开浏览器的开发者工具，查看网络请求中的响应头，确认是否存在Content-Security-Policy头，并且包含了你配置的Google字体相关域名。

内容的提问来源于stack exchange，提问作者Noobie3001