Inhalt Sicherheitsprobleme mit IdentityServer 4 Upgrade auf die Version 1.5

Question

ich meine Identityserver 4 auf Version 1.5.1 aktualisiert und jetzt Content Security Policy errors.none der Lösungen haben presribed bisher für mich gearbeitet Ich habe versucht, diese

<meta http-equiv="Content-Security-Policy" content="default-src *; style-src 'self' 'unsafe-inline' https://ajax.aspnetcdn.com/ajax/bootstrap/3.3.6/css/bootstrap.min.css; script-src 'self' 'unsafe-inline' 'unsafe-eval' https://ajax.aspnetcdn.com/ajax/jquery/jquery-2.2.0.min.js https://ajax.aspnetcdn.com/ajax/jquery.validate/1.14.0/jquery.validate.min.js"> 

aber nichts verwertbares geschieht

Answer 1

In den IdentityServer4 Proben ist die Klasse SecurityHeadersAttribute.cs verantwortlich für die richtigen CSP-Header gesendet werden. Sie sollten nur den Domain-Namen hinzufügen:

var csp = "default-src 'self';" + 
         "img-src * 'self' data: https:;" + 
         "style-src 'self' ajax.aspnetcdn.com;" + 
         "font-src 'self' ajax.aspnetcdn.com;" + 
         "script-src 'self' ajax.aspnetcdn.com;" 

// once for standards compliant browsers 
if (!context.HttpContext.Response.Headers.ContainsKey("Content-Security-Policy")) 
{ 
    context.HttpContext.Response.Headers.Add("Content-Security-Policy", csp); 
} 
// and once again for IE 
if (!context.HttpContext.Response.Headers.ContainsKey("X-Content-Security-Policy")) 
{ 
    context.HttpContext.Response.Headers.Add("X-Content-Security-Policy", csp); 
}