Özel yanıt üstbilgisini web.config dosyasına ekleyin

Question

Tıklama tehlikesine karşı duyarlı bir web sitem var. Bazı araştırmalar yapmak, basit yaklaşımlardan birinin yanıt başlığına X-Frame-Options: SAMEORIGIN eklemesini sağlamaktır. Bu çok eski bir web uygulamasıdır (yaklaşık son güncelleme 2004'tür) ve IIS 6'yı ASP.NET 2.0 ile çalıştırmaktadır.

yeni sürümlerinde, ben sadece web.config

<system.webServer> 
    <httpProtocol> 
     <customHeaders> 
      <add name="X-Frame-Options" value="SAMEORIGIN" /> 
     </customHeaders> 
    </httpProtocol> 
</system.webServer> 

için aşağıdaki parça ekleyip Ve bunun sonu olurdu. Ancak, bunun IIS 6 kullanılarak mümkün olduğunu doğrulayamıyorum. IIS 6 ve ASP.NET 2.0 ile bu yalnızca web.config dosyasında yapılabilir mi? Öyleyse nasıl? Değilse, aynı sonucu elde etmek için hangi kod değişikliklerini yapmak zorundayım? basitçe Global.asax#Application_EndRequest için

Context.Response.AddHeader("X-Frame-Options", "SAMEORIGIN"); 

yeterli ekleyerek misiniz?

Answer 1

Bunu, yalnızca II6'yı hedeflediğinizden (<customHeaders> bölümü IIS7 + 'ya eklendiğinden) web.config numaralı güncelleştirmeyi güncelleyerek gerçekleştirebileceğinize inanmıyorum.

böyle bir şey görünebilir hangi Başlığını ekleyerek aslında bakacaklarını this blog post belirtilen yaklaşıma benzer bir özel HttpModule'ü oluşturmak olacaktır yapmanız gereken muhtemel hangi: Bu durumda, gerekir

public class SameOriginHeaderModule : IHttpModule 
{ 
    private HttpApplication _application; 

    public void Init(HttpApplication context) 
    { 
     _application = context; 
     context.PreSendRequestHeaders += OnPreSendRequestHeaders; 
    } 

    void context_EndRequest(object sender, EventArgs e) 
    { 
     // If your request exists, add the header 
     if (_application.Context != null) 
     { 
       var response = _application.Response; 
       response.Headers.Add("X-Frame-Options", "SAMEORIGIN"); 
     } 
    } 

    public void Dispose() 
    { 

    } 
} 

<configuration> 
    <system.web> 
     <httpModules> 
      <add name="SameOriginHeaderModule" type="SameOriginHeaderModule" /> 
     </httpModules> 
    </system.web> 
</configuration>