.net7 strict-origin-when-cross-origin

使用90版本之后的谷歌浏览器，在部署前端项目后，调用后端接口出现strict-origin-when-cross-origin的错误提示，同时静态资源被拦截的情况通常是由于浏览器的安全策略变更导致的。Chrome计划在85版开始将默认策略从no-referrer-when-downgrade更换为strict-origin-when-cross-origin。strict-origin-when-cross-origin会在同源请求中发送完整的URL作为引用地址，在同等安全级别下是发送文件的源作为引用地址(HTTPS->HTTPS)，在降级的情况下不发送此首部(HTTPS->HTTP)。

解决这个问题有几种方式，你可以尝试以下方法之一：
1. 在调用后端接口的代码中添加跨域许可的头部信息，例如Access-Control-Allow-Origin，并将其设置为允许访问的域名。
2. 直接使用完整的URL来调用后端接口，而不是相对路径。
3. 在部署前端项目时，将后端接口与前端项目放在同一域名下，以避免跨域问题。

相关问题

<script>alert("xss")</script> 报 strict-origin-when-cross-origin strict-origin-when-cross-origin

<script>alert("xss")</script>是一种跨站脚本攻击（XSS）。XSS是一种安全漏洞，可以允许攻击者向受害者的浏览器注入恶意脚本，并以受害者的身份执行这些脚本。这种攻击可以导致用户的个人信息泄露、会话劫持、恶意重定向等问题。

要防止XSS攻击，可以采取以下几种方法：
1. 对用户输入进行过滤和验证，确保只允许合法的数据输入。
2. 对输出的内容进行转义，将特殊字符转换为其对应的HTML实体，以防止恶意脚本的执行。
3. 使用安全的编码方法来处理用户输入和输出的数据，比如使用内容安全策略（CSP）来限制页面中可以加载的资源。
4. 在开发过程中，及时更新和修复任何与XSS相关的安全漏洞。

strict-origin-when-cross-origin

strict-origin-when-cross-origin 是一种浏览器安全策略，用于限制跨域请求时的信息泄露问题。当浏览器发送跨域请求时，如果请求头中包含 Referer，那么该请求的目标网站就可以获取到该请求的来源网站信息，这可能会导致一些安全问题。而启用 strict-origin-when-cross-origin 后，浏览器会在跨域请求时，将 Referer 信息只保留源站域名部分，其它部分则会被截断，从而避免了信息泄露问题。