脚本之家 服务器常用软件
快捷导航
您的位置：首页 → 网络编程 → ASP.NET → 实用技巧 → asp.net core给网站做安全设置

asp.net core下给网站做安全设置的方法详解

 更新时间：2018年07月02日 08:44:22   作者：又见阿郎  
这篇文章主要给大家介绍了关于asp.net core下给网站做安全设置的相关资料，文章通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧

前言

本文主要介绍了关于asp.net core给网站做安全设置的相关内容，分享出来供大家参考学习，下面话不多说了，来一起看看详细的介绍吧

设置方法如下

首先，我们来看下stack overflow网站的请求头文件：


可以看到一些我们熟悉或是陌生的HTTP头部文件字段。

在这里我们在对HTTP输入流的头部文件中，做一些基本的防护。首先要明确，既然我们是对HTTP头部做处理，那么就需要在Startup.cs类的

Configuration方法中做处理，因为这里就是处理HTTP输入流的。

首先做一些基本的处理，比如中间件和基本的类：

public class SecurityHeadersPolicy 
{
 public IDictionary<string, string> SetHeaders { get; }
  = new Dictionary<string, string>();
 
 public ISet<string> RemoveHeaders { get; }
 = new HashSet<string>();
}

这里的头部信息是我们定义好的，用来增加或是删除头部信息，然后就是我们的中间件：

public class SecurityHeadersMiddleware 
{
 private readonly RequestDelegate _next;
 private readonly SecurityHeadersPolicy _policy;

 public SecurityHeadersMiddleware(RequestDelegate next, SecurityHeadersPolicy policy)
 {
 _next = next;
 _policy = policy;
 }

 public async Task Invoke(HttpContext context)
 { 
 IHeaderDictionary headers = context.Response.Headers;

 foreach (var headerValuePair in _policy.SetHeaders)
 {
  headers[headerValuePair.Key] = headerValuePair.Value;
 }

 foreach (var header in _policy.RemoveHeaders)
 {
  headers.Remove(header);
 }

 await _next(context);
 }
}

基于IApplicationBuilder接口做一个中间件的扩展方法：

public static class MiddlewareExtensions 
{
 public static IApplicationBuilder UseSecurityHeadersMiddleware(this IApplicationBuilder app, SecurityHeadersBuilder builder)
 {
 SecurityHeaderPolicy policy = builder.Build();
 return app.UseMiddleware<SecurityHeadersMiddleware>(policy);
 }
}

封装好相关的安全类：

public class SecurityHeadersBuilder 
{
 private readonly SecurityHeadersPolicy _policy = new SecurityHeadersPolicy();

 public SecurityHeadersBuilder AddDefaultSecurePolicy()
 {
 AddFrameOptionsDeny();
 AddXssProtectionBlock();
 AddContentTypeOptionsNoSniff();
 AddStrictTransportSecurityMaxAge();
 RemoveServerHeader();

 return this;
 }

 public SecurityHeadersBuilder AddFrameOptionsDeny()
 {
 _policy.SetHeaders[FrameOptionsConstants.Header] = FrameOptionsConstants.Deny;
 return this;
 }

 public SecurityHeadersBuilder AddFrameOptionsSameOrigin()
 {
 _policy.SetHeaders[FrameOptionsConstants.Header] = FrameOptionsConstants.SameOrigin;
 return this;
 }

 public SecurityHeadersBuilder AddFrameOptionsSameOrigin(string uri)
 {
 _policy.SetHeaders[FrameOptionsConstants.Header] = string.Format(FrameOptionsConstants.AllowFromUri, uri);
 return this;
 }

 public SecurityHeadersBuilder RemoveServerHeader()
 {
 _policy.RemoveHeaders.Add(ServerConstants.Header);
 return this;
 }

 public SecurityHeadersBuilder AddCustomHeader(string header, string value)
 {
 _policy.SetHeaders[header] = value;
 return this;
 }

 public SecurityHeadersBuilder RemoveHeader(string header)
 {
 _policy.RemoveHeaders.Add(header);
 return this;
 }

 public SecurityHeadersPolicy Build()
 {
 return _policy;
 }
}

最后注入到HTTP的输入流中：

app.UseSecurityHeadersMiddleware(new SecurityHeadersBuilder() 
.AddDefaultSecurePolicy()
);

然后我们浏览一下网页，就可以在HTTP的头部信息中看到：

HTTP/1.1 200 OK 
Content-Type: text/html; charset=utf-8 
X-Frame-Options: DENY 
X-XSS-Protection: 1; mode=block 
X-Content-Type-Options: nosniff 
Strict-Transport-Security: max-age=31536000 
X-Powered-By: ASP.NET

还有一个就是CSRF的防护，如果之前你用过ASP.NET MVC，在最基本的MVC模板中，可能你会留意到已有的cshtml页面中的form表单有这么一句：

@Html.AntiForgeryToken()

这就是微软在MVC框架中为我们提供的防护CSRF的方法。我们在表单中直接使用上面那句代码就可以了，然后在表单提交的Action方法中：

[ValidateAntiForgeryToken]
[HttpPost]
public IActionResult AntiForm(string message)
{
return Content(message);
}

使用[ValidateAntiForgeryToken]属性，来验证CSRF。

参考链接：

代码地址：

https://github.com/RyanOvO/aspnetcore-fileup-demo

总结

以上就是这篇文章的全部内容了，希望本文的内容对大家的学习或者工作具有一定的参考学习价值，如果有疑问大家可以留言交流，谢谢大家对脚本之家的支持。

您可能感兴趣的文章:

相关文章

  • .NetCore之接口缓存的实现示例

    .NetCore之接口缓存的实现示例

    这篇文章主要介绍了.NetCore之接口缓存的实现示例，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
    2020-09-09
  • 使用pdfbox实现pdf文本提取和合并功能示例

    使用pdfbox实现pdf文本提取和合并功能示例

    这篇文章主要介绍了使用pdfbox实现pdf文本提取和合并功能示例,大家参考使用吧
    2014-01-01
  • Visual Studio 2010 前端开发工具/扩展/插件推荐

    Visual Studio 2010 前端开发工具/扩展/插件推荐

    这篇文章主要介绍了一组我喜爱的扩展和工具能让Visual Studio在web开发方面更简单，我只是集中在我安装和使用过的一些工具，如果你还有其它好用的的话，请在这里留言。
    2016-06-06
  • Visual Studio 2017通过SSH调试Linux上.NET Core

    Visual Studio 2017通过SSH调试Linux上.NET Core

    这篇文章主要为大家详细介绍了Visual Studio 2017通过SSH调试Linux 上.NET Core的相关资料，具有一定的参考价值，感兴趣的小伙伴们可以参考一下
    2017-03-03
  • ASP.NET MVC把表格导出到Excel

    ASP.NET MVC把表格导出到Excel

    这篇文章介绍了ASP.NET MVC把表格导出到Excel的方法，文中通过示例代码介绍的非常详细。对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下
    2022-07-07
  • ASP.NET中在不同的子域中共享Session的具体方法

    ASP.NET中在不同的子域中共享Session的具体方法

    这篇文章介绍了ASP.NET中在不同的子域中共享Session的具体方法，有需要的朋友可以参考一下
    2013-10-10
  • .NET使用结构体替代类提升性能优化的技巧

    .NET使用结构体替代类提升性能优化的技巧

    这篇文章主要介绍了.NET使用结构体替代类提升性能优化的技巧,使用结构体替代类有什么好处呢？在什么样的场景需要使用结构体来替代类呢？今天的文章为大家一一解答，需要的朋友可以参考下
    2022-05-05
  • ASP.NET 谨用 async/await

    ASP.NET 谨用 async/await

    这篇文章主要介绍了ASP.NET 应用程序实际使用过程中的一些总结， 包括 异常捕获 、 死锁 、 应用程序崩溃 ，实际使用过程中一不注意就可能掉坑里了
    2018-01-01
  • C#反射技术的简单操作(读取和设置类的属性)

    C#反射技术的简单操作(读取和设置类的属性)

    反射的作用想必大家都知道了吧，少量属性的自动化操作手动添加几下当然是没有问题的，但是属性数量较多的时候敲起这些繁锁的代码可以困了，再说对扩展和维护性造成很多的不遍，以下代码中如不能直接使用请添加using System.Text;的引用。
    2011-01-01
  • ASP.NET MVC开发接入微信公共平台

    ASP.NET MVC开发接入微信公共平台

    这篇文章主要为大家介绍了微信平台开发ASP.NET MVC接入微信公共平台实现过程，有需要的朋友可以借鉴参考下，希望能够有所帮助，祝大家多多进步，早日升职加薪
    2022-04-04

最新评论