.NET 4.8(IIS)如何仅为错误页面在web.config中配置自定义请求头？

方案1：仅为错误页面添加自定义请求头 #

利用IIS的<location>标签，限定自定义头仅对错误页面路径生效。假设错误页面为/Error.aspx，配置示例如下：

<configuration>
  <!-- 全局配置保持原有设置 -->
  <location path="Error.aspx">
    <system.webServer>
      <httpProtocol>
        <customHeaders>
          <clear/>
          <add name="Content-Security-Policy" value="connect-src 'self'; img-src *; child-src 'self'; frame-ancestors 'self';script-src 'self'"/>
        </customHeaders>
      </httpProtocol>
    </system.webServer>
  </location>
</configuration>

如果有多个错误页面，比如/Errors/*.aspx格式，直接修改path属性为对应通配路径即可，确保只有错误页面加载该CSP头。

方案2：定义仅当应用未添加时生效的备用请求头 #

通过自定义HttpModule实现头存在性检查逻辑：

1. 创建类库项目，添加以下HttpModule代码：

using System;
using System.Web;

public class CspFallbackModule : IHttpModule
{
    public void Init(HttpApplication context)
    {
        context.PreSendRequestHeaders += OnPreSendRequestHeaders;
    }

    private void OnPreSendRequestHeaders(object sender, EventArgs e)
    {
        var response = HttpContext.Current.Response;
        // 检查响应中是否已存在CSP头
        if (!response.Headers.AllKeys.Contains("Content-Security-Policy"))
        {
            response.AddHeader("Content-Security-Policy", "connect-src 'self'; img-src *; child-src 'self'; frame-ancestors 'self';script-src 'self'");
        }
    }

    public void Dispose()
    {
        // 资源清理逻辑（按需实现）
    }
}

2. 在web.config中注册该模块：

<configuration>
  <system.web>
    <httpModules>
      <add name="CspFallbackModule" type="你的命名空间.CspFallbackModule, 程序集名称"/>
    </httpModules>
  </system.web>
  <!-- IIS集成模式下的注册 -->
  <system.webServer>
    <modules>
      <add name="CspFallbackModule" type="你的命名空间.CspFallbackModule, 程序集名称"/>
    </modules>
  </system.webServer>
</configuration>

模块会在响应发送前自动检查，仅当无CSP头时添加备用配置，避免重复。

方案3：让应用覆盖web.config中的请求头（可行实现） #

通过全局事件主动移除web.config的头再添加运行时生成的头：
在全局.asax的Application_PreSendRequestHeaders事件中处理：

protected void Application_PreSendRequestHeaders(object sender, EventArgs e)
{
    var response = HttpContext.Current.Response;
    // 先移除web.config添加的CSP头
    response.Headers.Remove("Content-Security-Policy");
    // 生成运行时nonce并添加自定义CSP头
    string nonce = GenerateNonce();
    response.AddHeader("Content-Security-Policy", $"connect-src 'self'; img-src *; child-src 'self'; frame-ancestors 'self';script-src 'self' 'nonce-{nonce}'");
}

private string GenerateNonce()
{
    byte[] nonceBytes = new byte[16];
    using (var rng = new System.Security.Cryptography.RNGCryptoServiceProvider())
    {
        rng.GetBytes(nonceBytes);
    }
    return Convert.ToBase64String(nonceBytes);
}

保留web.config中的CSP头配置后，错误页面（未触发应用代码）会使用web.config的头，普通页面则被应用代码覆盖为带nonce的头。

内容的提问来源于stack exchange，提问作者dwilliss