我正在使用的 MVC 应用程序中的每个页面都会在响应中设置这些 HTTP 标头：
X-Powered-By: ASP.NET
X-AspNet-Version: 2.0.50727
X-AspNetMvc-Version: 2.0
如何防止这些显示？
【问题讨论】：
标签： asp.net-mvc security http-headers
如Removing standard server headers on Windows Azure Web Sites页面所示，您可以使用以下内容删除标题：
<?xml version="1.0" encoding="utf-8"?>
<configuration>
<system.webServer>
<httpProtocol>
<customHeaders>
<clear />
</customHeaders>
</httpProtocol>
<security>
<requestFiltering removeServerHeader="true"/>
</security>
</system.webServer>
<system.web>
<httpRuntime enableVersionHeader="false" />
</system.web>
</configuration>
这会删除 Server 标头和 X- 标头。
这在我在 Visual Studio 2015 中的测试中本地工作。
其他参考资料：
【讨论】：
X-Powered-By 是 IIS 中的自定义标头。从 IIS 7 开始，您可以通过将以下内容添加到您的 web.config 来删除它：
<system.webServer>
<httpProtocol>
<customHeaders>
<remove name="X-Powered-By" />
</customHeaders>
</httpProtocol>
</system.webServer>
此标头也可以根据您的需要进行修改，更多信息请参阅http://www.iis.net/ConfigReference/system.webServer/httpProtocol/customHeaders
将此添加到web.config 以摆脱X-AspNet-Version 标头：
<system.web>
<httpRuntime enableVersionHeader="false" />
</system.web>
最后，要删除 X-AspNetMvc-Version，编辑 Global.asax.cs 并在 Application_Start 事件中添加以下内容：
protected void Application_Start()
{
MvcHandler.DisableMvcResponseHeader = true;
}
您还可以通过Global.asax.cs 中的Application_PreSendRequestHeaders 事件在运行时修改标头。如果您的标头值是动态的，这很有用：
protected void Application_PreSendRequestHeaders(object source, EventArgs e)
{
Response.Headers.Remove("foo");
Response.Headers.Add("bar", "quux");
}
【讨论】：
X-Powered-By 标头。在web.config 中查看有关如何实现此目的的其他答案。
检查this blog 不要使用代码来删除标题。根据Microsoft 是不稳定的
我对此的看法：
<system.webServer>
<httpProtocol>
<!-- Security Hardening of HTTP response headers -->
<customHeaders>
<!--Sending the new X-Content-Type-Options response header with the value 'nosniff' will prevent
Internet Explorer from MIME-sniffing a response away from the declared content-type. -->
<add name="X-Content-Type-Options" value="nosniff" />
<!-- X-Frame-Options tells the browser whether you want to allow your site to be framed or not.
By preventing a browser from framing your site you can defend against attacks like clickjacking.
Recommended value "x-frame-options: SAMEORIGIN" -->
<add name="X-Frame-Options" value="SAMEORIGIN" />
<!-- Setting X-Permitted-Cross-Domain-Policies header to “master-only” will instruct Flash and PDF files that
they should only read the master crossdomain.xml file from the root of the website.
https://www.adobe.com/devnet/articles/crossdomain_policy_file_spec.html -->
<add name="X-Permitted-Cross-Domain-Policies" value="master-only" />
<!-- X-XSS-Protection sets the configuration for the cross-site scripting filter built into most browsers.
Recommended value "X-XSS-Protection: 1; mode=block". -->
<add name="X-Xss-Protection" value="1; mode=block" />
<!-- Referrer-Policy allows a site to control how much information the browser includes with navigations away from a document and should be set by all sites.
If you have sensitive information in your URLs, you don't want to forward to other domains
https://scotthelme.co.uk/a-new-security-header-referrer-policy/ -->
<add name="Referrer-Policy" value="no-referrer-when-downgrade" />
<!-- Remove x-powered-by in the response header, required by OWASP A5:2017 - Do not disclose web server configuration -->
<remove name="X-Powered-By" />
<!-- Ensure the cache-control is public, some browser won't set expiration without that -->
<add name="Cache-Control" value="public" />
</customHeaders>
</httpProtocol>
<!-- Prerequisite for the <rewrite> section
Install the URL Rewrite Module on the Web Server https://www.iis.net/downloads/microsoft/url-rewrite -->
<rewrite>
<!-- Remove Server response headers (OWASP Security Measure) -->
<outboundRules rewriteBeforeCache="true">
<rule name="Remove Server header">
<match serverVariable="RESPONSE_Server" pattern=".+" />
<!-- Use custom value for the Server info -->
<action type="Rewrite" value="Your Custom Value Here." />
</rule>
</outboundRules>
</rewrite>
</system.webServer>
【讨论】：
.NET 核心
要删除 Server 标头，请在 Program.cs 文件中添加以下选项：
.UseKestrel(opt => opt.AddServerHeader = false)
对于 dot net core 1，在 .UseKestrel() 调用中添加选项。对于 dot net core 2，在 UseStartup() 之后添加该行。
要删除 X-Powered-By 标头，如果部署到 IIS，请编辑您的 web.config 并在 system.webServer 标记内添加以下部分：
<httpProtocol>
<customHeaders>
<remove name="X-Powered-By" />
</customHeaders>
</httpProtocol>
.NET 4.5.2
要删除 Server 标头，请在 global.asax 文件中添加以下内容：
protected void Application_BeginRequest(object sender, EventArgs e)
{
string[] headers = { "Server", "X-AspNet-Version" };
if (!Response.HeadersWritten)
{
Response.AddOnSendingHeaders((c) =>
{
if (c != null && c.Response != null && c.Response.Headers != null)
{
foreach (string header in headers)
{
if (c.Response.Headers[header] != null)
{
c.Response.Headers.Remove(header);
}
}
}
});
}
}
.NET 4.5.2 之前
将以下 c# 类添加到您的项目中：
public class RemoveServerHeaderModule : IHttpModule
{
public void Init(HttpApplication context)
{
context.PreSendRequestHeaders += OnPreSendRequestHeaders;
}
public void Dispose() { }
void OnPreSendRequestHeaders(object sender, EventArgs e)
{
HttpContext.Current.Response.Headers.Remove("Server");
}
}
然后在您的 web.config 中添加以下
<system.webServer>
....
<modules>
<add name="RemoveServerHeaderModule" type="MyNamespace.RemoveServerHeaderModule" />
</modules>
但是我遇到了一个问题，即子项目找不到这个模块。不好玩。
要删除“X-AspNetMvc-Version”标签，对于任何版本的 .NET，修改“web.config”文件以包含：
<system.web>
...
<httpRuntime enableVersionHeader="false" />
...
</system.web>
感谢 Microsoft 让这变得难以置信的困难。或者也许这是您的意图，以便您可以跟踪世界各地的 IIS 和 MVC 安装...
【讨论】：
RemoveServerHeaderModule 在WebApi项目中是行不通的。
IIS 将 X-Powered-By 标头添加到 HTTP 响应中，因此您甚至可以通过 IIS 管理器在服务器级别将其删除：
你可以直接使用web.config：
<system.webServer>
<httpProtocol>
<customHeaders>
<remove name="X-Powered-By" />
</customHeaders>
</httpProtocol>
</system.webServer>
【讨论】：
为了完整起见，还有另一种方法可以删除 Server 标头，使用 regedit。
在以下注册表项中创建一个名为 DisableServerHeader 的 DWORD 条目并将值设置为 1。
HKLM\SYSTEM\CurrentControlSet\Services\HTTP\Parameters
我宁愿使用Web.config找到一个合适的解决方案，但是使用<rewrite>并不好，因为它需要安装重写模块，即使这样它也不会真正删除标题，只需清空它.
【讨论】：
在 Asp.Net Core 中，您可以像这样编辑 web.config 文件：
<httpProtocol>
<customHeaders>
<remove name="X-Powered-By" />
</customHeaders>
</httpProtocol>
您可以在 Kestrel 选项中删除服务器标头：
.UseKestrel(c =>
{
// removes the server header
c.AddServerHeader = false;
})
【讨论】：
您可以更改Application_EndRequest() 中的任何标题或任何内容，试试这个
protected void Application_EndRequest()
{
// removing excessive headers. They don't need to see this.
Response.Headers.Remove("header_name");
}
【讨论】：
如Cloaking your ASP.NET MVC Web Application on IIS 7 中所述，您可以通过将以下配置部分应用于您的 web.config 来关闭 X-AspNet-Version 标头：
<system.web>
<httpRuntime enableVersionHeader="false"/>
</system.web>
并通过如下更改 Global.asax.cs 来删除 X-AspNetMvc-Version 标头：
protected void Application_Start()
{
MvcHandler.DisableMvcResponseHeader = true;
}
如Custom Headers 中所述，您可以通过将以下配置部分应用于您的 web.config 来删除“X-Powered-By”标头：
<system.webServer>
<httpProtocol>
<customHeaders>
<clear />
</customHeaders>
</httpProtocol>
</system.webServer>
没有简单的方法可以通过配置删除“服务器”响应标头，但您可以实现 HttpModule 以删除特定的 HTTP 标头，如 Cloaking your ASP.NET MVC Web Application on IIS 7 和 how-to-remove-server-x-aspnet-version-x-aspnetmvc-version-and-x-powered-by-from-the-response-header-in-iis7 中所述。
【讨论】：
我在我的 web.config 中找到了这个配置，该配置用于在 Visual Studio 中创建的 New Web Site...（而不是 New Project...）。由于问题说明了一个 ASP.NET MVC 应用程序，因此相关性不高，但仍然是一个选项。
<system.webServer>
<httpProtocol>
<customHeaders>
<clear />
<remove name="X-Powered-By" />
</customHeaders>
</httpProtocol>
</system.webServer>
更新：此外，Troy Hunt 有一篇标题为 Shhh… don’t let your response headers talk too loudly 的文章，其中详细介绍了删除这些标头的步骤，以及指向他的 ASafaWeb 工具的链接，用于扫描它们和其他安全配置。
【讨论】：
code code
您也可以通过将代码添加到 global.asax 文件来删除它们：
protected void Application_PreSendRequestHeaders(object sender, EventArgs e)
{
HttpContext.Current.Response.Headers.Remove("X-Powered-By");
HttpContext.Current.Response.Headers.Remove("X-AspNet-Version");
HttpContext.Current.Response.Headers.Remove("X-AspNetMvc-Version");
HttpContext.Current.Response.Headers.Remove("Server");
}
【讨论】：
<system.webServer> <httpProtocol> <customHeaders> <remove name="X-Powered-By" /> </customHeaders> <redirectHeaders> <clear /> </redirectHeaders> </httpProtocol> </system.webServer>