从 ASP.NET Core 2.1 应用程序中删除“服务器”标头

Question

是否可以删除 ASP.NET Core 2.1 应用程序中的 Server 响应标头（在带有 IIS 10 的 Server 2016 上运行）？

我尝试将以下内容放入 web.config：

<system.webServer>
    <httpProtocol>
        <customHeaders>
            <add name="X-Frame-Options" value="sameorigin" />
            <add name="X-XSS-Protection" value="1; mode=block" />
            <add name="X-Content-Type-Options" value="nosniff" />
            <remove name="X-Powered-By" />
            <remove name="Server" />
        </customHeaders>
    </httpProtocol>
</system.webServer>

对 Response 的前四次更改运行良好，但 Server 标头没有被删除。我仍然看到“红隼”

Answer 1

此解决方案适用于 IIS 10+ 版本，并允许删除服务器响应中的 x-powered-by 和 server 标头。

在 IIS 10 中添加了一个新属性：removeServerHeader。

我们需要在asp.net核心应用程序中创建web.config文件，内容如下：

<?xml version="1.0" encoding="utf-8"?>
<configuration>
  <system.webServer>
    <security>
      <requestFiltering removeServerHeader="true" />
    </security>
    <httpProtocol>
      <customHeaders>
        <remove name="X-Powered-By" />
      </customHeaders>
    </httpProtocol>
  </system.webServer>
</configuration>

然后在 IIS 上发布应用并重启站点。

Answer 2

Kestrel 服务器标头在请求管道中添加得太晚。因此无法通过 web.config 或中间件删除它。

您可以通过在KestrelServerOptions 上将AddServerHeader property 设置为false 来移除Server 标头，这可以在Program.cs 中完成。

    public static IWebHostBuilder CreateWebHostBuilder(string[] args) =>
        WebHost.CreateDefaultBuilder(args)
            .UseKestrel(options => options.AddServerHeader = false)
            .UseStartup<Startup>();

Answer 3

对于 Dotnet Core 3.1，UseKestrel 是 ConfigureWebHostDefaults 的一部分，而不是早期版本中的 CreateDefaultBuilder。

public static IHostBuilder CreateHostBuilder(string[] args) =>
    Host.CreateDefaultBuilder(args)
        .ConfigureWebHostDefaults(webBuilder =>
        {
            webBuilder.UseStartup<Startup>()
                      .UseKestrel(options => options.AddServerHeader = false);
        });

Answer 4

对于那些尝试做同样事情（删除由 Kestrel Web 服务器添加的服务器响应标头）但使用 ASP.NET core 2.2 的人，他们应该使用扩展方法 ConfigureKestrel ( https://docs.microsoft.com/en-us/dotnet/api/microsoft.aspnetcore.hosting.webhostbuilderkestrelextensions.configurekestrel?view=aspnetcore-2.2#Microsoft_AspNetCore_Hosting_WebHostBuilderKestrelExtensions_ConfigureKestrel_Microsoft_AspNetCore_Hosting_IWebHostBuilder_System_Action_Microsoft_AspNetCore_Server_Kestrel_Core_KestrelServerOptions__) 而不是扩展方法 UseKestrel。