NWebSec 非 MVC WebForms ASPX .Net 4.6.1 C# - 配置不起作用

Question

我需要支持在 Asp.net、C# 和 .NET 4.6.1 上运行的旧网站。安全审计通知我们，我们需要执行内容安全政策。我搜索了谷歌，但没有找到关于 NWebSec 中是否支持网络表单（不是 MVC）的具体答案。 https://docs.nwebsec.com/en/latest/ 确实提到了对 Asp.net 4 的支持，如下所示：

NWebsec for ASP.NET 4
Historically, NWebsec has been targeting ASP.NET 4. The following packages target ASP.NET 4:

NWebsec
NWebsec.Mvc
NWebsec.Owin

为了测试 NWebSec 对 asp.net 网络表单的支持，我按照以下步骤操作：

1. 在 VS 2017 中使用 .net 4.6.1 创建了一个新的 Asp.net webforms 项目。测试它工作正常。

2. 添加了此处指定的 NuGet 包 - https://www.nuget.org/packages/NWebsec/: Install-Package NWebsec -Version 6.0.0

3. 更改了 Web.config 文件以包含以下内容：

<nwebsec> 
<httpHeaderSecurityModule xmlns="http://nwebsec.com/HttpHeaderSecurityModuleConfig.xsd" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:noNamespaceSchemaLocation="NWebsecConfig/HttpHeaderSecurityModuleConfig.xsd"> 
<securityHttpHeaders> 
<content-Security-Policy enabled="true"> 
<default-src self="true"/> 
<script-src self="true" enabled="true"> 
<add source="maxcdn.bootstrapcdn.com" /> 
<add source="code.jquery.com" /> 
<add source="ajax.googleapis.com" /> 
<!--<add source ="localhost:60252"/>--> 
</script-src> 
<style-src self="true" /> 
<report-uri enableBuiltinHandler="true"/> 
</content-Security-Policy> 
</securityHttpHeaders> 
</httpHeaderSecurityModule> 
</nwebsec>

4.保存并运行项目。

5.Google Chrome 控制台出现以下错误

`modernizr-2.8.3.js:134 拒绝应用内联样式，因为它违反了以下内容安全策略指令：“style-src 'self'”。启用内联执行需要“unsafe-inline”关键字、哈希（“sha256-CwE3Bg0VYQOIdNAkbB/Btdkhul49qZuwgNCMPgNY5zw=”）或随机数（“nonce-...”）。

localhost/:20 拒绝执行内联脚本，因为它违反了以下内容安全策略指令：“script-src 'self' maxcdn.bootstrapcdn.com code.jquery.com ajax.googleapis.com”。启用内联执行需要“unsafe-inline”关键字、哈希（“sha256-uYoAmCrBFM4tx/Ww+6eFuIJxuwZ3YFRT7fWUTlgnPuE=”）或随机数（“nonce-...”）。

localhost/:39 拒绝执行内联脚本，因为它违反了以下内容安全策略指令：“script-src 'self' maxcdn.bootstrapcdn.com code.jquery.com ajax.googleapis.com”。启用内联执行需要使用“unsafe-inline”关键字、哈希（“sha256-2vr5KMButMK7a+bOf/ned/cPnF2yNooMulXA8E65wGw=”）或随机数（“nonce-...”）。

localhost/:52 拒绝执行内联脚本，因为它违反了以下内容安全策略指令：“script-src 'self' maxcdn.bootstrapcdn.com code.jquery.com ajax.googleapis.com”。启用内联执行需要“unsafe-inline”关键字、哈希（“sha256-AJipRK0+ga273yKzZZX3BqTHwvwc1v3R9erdu31Wh6I=”）或随机数（“nonce-...”）。`

例如，在 Chrome 控制台中单击粗体错误会导致以下 JavaScript 块被 Asp.net 框架注入到 asp 页面中

<script type="text/javascript">
//<![CDATA[
var theForm = document.forms['ctl01'];
if (!theForm) {
    theForm = document.ctl01;
}
function __doPostBack(eventTarget, eventArgument) {
    if (!theForm.onsubmit || (theForm.onsubmit() != false)) {
        theForm.__EVENTTARGET.value = eventTarget;
        theForm.__EVENTARGUMENT.value = eventArgument;
        theForm.submit();
    }
}
//]]>
</script>

我希望看到这些 Google 控制台错误消失，但是，我不想允许使用“unsafe-inline”关键字或使用哈希 ('sha256-uYoAmCrBFM4tx/Ww+6eFuIJxuwZ3YFRT7fWUTlgnPuE=') 或随机数（'nonce-...'）。 任何帮助/指针/支持表示赞赏。

Answer 1

<script type="text/javascript"> ... </script> 是一个内联脚本，因此您可以选择在 CSP 中允许它：

1. 将'unsafe-inline' 令牌添加到script-src:
   <add source="'unsafe-inline'" />
   是的，它不安全并降低了 CSP 的有效性

2. 将三个 'hash-sources' 添加到 script-src 中，因为您有 3 个内联脚本（这适用于 <script> 内联块，但在 <tag onclick='...' 或 <a href='javascript:...' 内联脚本的情况下失败）：
   <add source="'sha256-AJipRK0+ga273yKzZZX3BqTHwvwc1v3R9erdu31Wh6I=' /><add source="'sha256-2vr5KMButMK7a+bOf/ned/cPnF2yNooMulXA8E65wGw=' />
<add source="'sha256-uYoAmCrBFM4tx/Ww+6eFuIJxuwZ3YFRT7fWUTlgnPuE=' />
   

3. 使用 'nonce-value'（它不适合 SPA 等客户端渲染应用，因为您无法在每个页面加载时生成新的随机数）：
   <script type="text/javascript" nonce="server_generated_base64_value"> ... /script>

4. 将内联 <script> 的内容移动到外部文件并使用 'self' 允许它。
   您可以使用 addEventListener() 而不是内联 <tag onclick='..'>。
   您可以使用 <a href='#'> 代替内联 <a href='javascript:...'>。

你也有与上面相同但内联的<style> 或<tag style='...'： modernizr-2.8.3.js:134 拒绝应用 内联样式，因为它违反了以下内容安全策略指令：“style-src 'self'”
因此，您具有与上述相同的选项，但对于 style-src 指令：
<add source="'sha256-CwE3Bg0VYQOIdNAkbB/Btdkhul49qZuwgNCMPgNY5zw=' />
这在内联<style> 的情况下有效，但在<tag style='...' 失败。

PS：如您所见，有 3 种“内联脚本”和 2 种“内联样式”。在修改 CSP 规则之前，您需要知道使用了哪些。并且JS调用setAttribute('style', ...)也算作内联style，会被CSP拦截。