UseHsts 是否应该将标头应用于通过 UseStaticFiles 添加的静态文件

Question

我们正在运行一个 .net 5 网络应用程序。

我们在启动时在我们的应用程序Configure() 中同时使用UseStaticFiles 和UseHsts。

我可以访问我的静态文件。

我所有的 API/动态 Web 端点都有 HSTS 标头。

我的静态文件没有 HSTS 标头。

我们在 SPA 应用程序中使用了一些静态 HTML 文件，并且我们运行的笔测试在扫描时会触发它的漏洞。

如何配置我的静态文件以使用 HSTS 标头。

// Simplified example
public void Configure(
    IApplicationBuilder app,
    IHostApplicationLifetime appLifetime
)
{
    app.UseStaticFiles();
    app.UseHsts();
    app.UseRouting();
    app.UseCors();
    app.UseAuthentication();

    app.UseEndpoints(endpoints => {
        endpoints.MapControllers();
        endpoints.MapHealthChecks("/healthcheck");
    });
}

---

基于@gjhommersom awnser 的更新

像这样配置应用程序，而不是将 cors 添加到标题中。

但是仍然缺少严格的传输安全标头:(

// Simplified example
public void Configure(
    IApplicationBuilder app,
    IHostApplicationLifetime appLifetime
)
{
    app.UseHsts();
    app.UseRouting();
    app.UseCors();
    app.UseAuthentication();

    app.UseEndpoints(endpoints => {
        endpoints.MapControllers();
        endpoints.MapHealthChecks("/healthcheck");
    });
    app.UseStaticFiles();
}

Answer 1

据我所知，设置应用程序的顺序很重要。你有没有试过在UseStaticFiles()之前打电话给UseHsts()？

原因是静态文件中间件在 hsts 中间件可以进行重定向之前返回一个文件。

类似问题：Why does order between UseStaticFiles and UseDefaultFiles matter?