Azure Blob 存储中托管的静态网站的 CSP 标头答案

【问题标题】：CSP Header for Static website Hosted in Azure Blob StorageAzure Blob 存储中托管的静态网站的 CSP 标头
【发布时间】：2019-09-19 20:13:28
【问题描述】：

是否可以在托管在 Azure blob 存储中的静态网站上添加内容安全策略 (CSP) 标头？

我可以看到您可以使用 Azure CLI 和以下命令添加元数据：

az storage blob metadata update --container-name --name "blobname" --metadata key=value

但是，这些最终不会传播到 HTTP 标头。

有没有办法将自定义标头添加到 blob？

【问题讨论】：

标签： azure azure-blob-storage content-security-policy

【解决方案1】：

因为这个功能暂时不可用（你可以去feedback siteupvote这个功能），所以你可以用Azure Function Functions来实现它。

这是您可以参考的博客：Static web hosting with security headers on Azure。

还有一种方法（这是 msdnenter link description here 中的答案）将 X-XSS 保护添加到 web。在应用程序的 wwwroot 文件夹中创建 web.config 文件，然后粘贴以下内容：

<?xml version="1.0" encoding="UTF-8"?>
<configuration>  
    <system.webServer>        
        <!-- START x-xss protection -->
        <httpProtocol>
            <customHeaders>
                <add name="X-Xss-Protection" value="1; mode=block" />
                <add name="Content-Security-Policy" value="default-src 'self';" />
                <remove name="X-Powered-By" />                          
            </customHeaders>
        </httpProtocol>
        <!-- END x-xss protection -->
        <rewrite>
            <rules>
                <!-- BEGIN rule TAG FOR HTTPS REDIRECT -->
                <rule name="Force HTTPS" enabled="true">
                  <match url="(.*)" ignoreCase="false" />
                  <conditions>
                    <add input="{HTTPS}" pattern="off" />
                  </conditions>
                  <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" appendQueryString="true" redirectType="Permanent" />
                </rule>
                <!-- END rule TAG FOR HTTPS REDIRECT -->       
            </rules>
        </rewrite>        
    </system.webServer>
</configuration>

【讨论】：

谢谢我的想法，所以它是添加一个CDN，Azure Function Proxy或一个标准的Web App来添加标题。?

【解决方案2】：

在将 CDN 映射到 Azure Blob 存储中托管的静态网站后，您可以在规则引擎部分将 CSP 标头附加到 Azure CDN。请找到分步参考here

【讨论】：

取决于您的 CDN 供应商，如果 verizon 则无法使用