c# 的Content-Security-Policy(csp)配置

C# 中的 Content-Security-Policy (CSP) 配置用于设置网页中的安全策略，以防止一些常见的网络攻击，例如跨站脚本攻击 (XSS) 和点击劫持等。下面是一个示例的 CSP 配置：

using Microsoft.AspNetCore.Builder;
using Microsoft.Extensions.DependencyInjection;

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        // 添加 CSP 配置
        services.AddAntiforgery(options =>
        {
            options.HeaderName = "X-XSS-Protection";
            options.HeaderValue = "1; mode=block";
        });
    }

    public void Configure(IApplicationBuilder app)
    {
        // 使用 CSP 配置
        app.Use(async (context, next) =>
        {
            context.Response.Headers.Add("Content-Security-Policy", "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'");
            await next();
        });

        // 其他中间件
    }
}

上述示例中，我们使用了 `AddAntiforgery` 方法来设置 `X-XSS-Protection` 头部的值为 `1; mode=block`，以启用浏览器的内置 XSS 保护。接着，在 `Configure` 方法中使用了自定义的中间件来添加 CSP 头部，并指定了一些策略规则。

在上述 CSP 配置中，我们允许了 `default-src`、`script-src` 和 `style-src` 这三个指令，并设置了允许加载资源的源，例如 `'self'` 表示只允许加载同源的资源，`'unsafe-inline'` 表示允许内联的脚本和样式。

请注意，这只是一个简单的示例配置，并不一定适用于所有的情况，具体的 CSP 配置应根据实际需求和安全性考虑进行调整。