内容安全政策

Question

我目前正在为我的项目实施CSP（内容安全策略），并且我选择为所有无法从网页移开的内联脚本实施立即。在尝试为经典aspx页面实现随机数时，很少有包含脚本管理器的地方可以使用ajaxcontrol工具包，并且它们在html中生成标记。

由于我具有 nonce 的实现，因此我需要将nonce属性添加到script标记中，以防止CSP阻止该行为。我已经研究了2天，但没有找到任何建议/解决方案。

编辑：

我正在使用OWIN中间件生成随机数。 meta 标签是动态生成的，并在加载母版页时附加到 meta 标签。

任何帮助将不胜感激。

谢谢

Answer 1

在IIS 7及更高版本上，您可以利用URL重写模块来定义出站规则，这些规则允许您即时修改标记：

https://docs.microsoft.com/en-us/iis/extensions/url-rewrite-module/using-outbound-rules-to-add-web-analytics-tracking-code

以下是重写图像标签的示例：

http://marisks.net/2017/05/14/changing-static-resource-urls-to-cdn-urls-with-url-rewrite/

Answer 2

与Microsoft社区讨论后，已经确定没有办法解释动态生成的脚本标记。因此，到目前为止，这还不可能。如果我找到任何解决方案，或者如果您有建议或解决方法，将使您保持最新状态，然后随时在此处发布。感谢您的所有帮助