NWebSec非MVC WebForms ASPX.NET 4.6.1 C#-配置不起作用

Question

我需要支持在ASP.NET、C#和.NET 4.6.1上运行的旧网站。安全审计已经通知我们，我们需要强制执行内容安全策略。我搜索了google，但没有找到NWebSec中是否支持webforms（而不是MVC）的具体答案。https://docs.nwebsec.com/en/latest/确实提到了对ASP.NET 4的支持，如下所示：

NWebsec for ASP.NET 4
Historically, NWebsec has been targeting ASP.NET 4. The following packages target ASP.NET 4:

NWebsec
NWebsec.Mvc
NWebsec.Owin

为了测试NWebSec对ASP.NET webforms的支持，我遵循了以下步骤：

>

使用.NET 4.6.1在VS 2017中创建了一个新的ASP.NET webforms项目。测试了它是否有效。

<nwebsec> 
<httpHeaderSecurityModule xmlns="http://nwebsec.com/HttpHeaderSecurityModuleConfig.xsd" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:noNamespaceSchemaLocation="NWebsecConfig/HttpHeaderSecurityModuleConfig.xsd"> 
<securityHttpHeaders> 
<content-Security-Policy enabled="true"> 
<default-src self="true"/> 
<script-src self="true" enabled="true"> 
<add source="maxcdn.bootstrapcdn.com" /> 
<add source="code.jquery.com" /> 
<add source="ajax.googleapis.com" /> 
<!--<add source ="localhost:60252"/>--> 
</script-src> 
<style-src self="true" /> 
<report-uri enableBuiltinHandler="true"/> 
</content-Security-Policy> 
</securityHttpHeaders> 
</httpHeaderSecurityModule> 
</nwebsec>

5.我在Google Chrome控制台中发现了以下错误

`Modernizr-2.8.3.JS:134拒绝应用内联样式，因为它违反了以下内容安全策略指令：“样式-src'self'”。'unsafe-inline'关键字、散列('sha256-cwe3bg0vyqoidnakbb/btdkhul49qzuwgncmpgny5zw=')或nonce('nonce-...')是启用内联执行所必需的。

LocalHost/:20拒绝执行内联脚本，因为它违反了以下内容安全策略指令：“script-src'self'maxcdn.bootstrapcdn.com code.jquery.com ajax.googleapis.com”。'unsafe-inline'关键字、散列('sha256-uyoamcrbfm4tx/ww+6efuijxuwz3yfrt7fwutlgnpue=')或nonce('nonce-...')是启用内联执行所必需的。

LocalHost/:52拒绝执行内联脚本，因为它违反了以下内容安全策略指令：“script-src'self'maxcdn.bootstrapcdn.com code.jquery.com ajax.googleapis.com”。'unsafe-inline'关键字、散列('sha256-ajiprk0+ga273ykzzzx3bqthwvwc1v3r9erdu31wh6i=')或nonce('nonce-...')是启用内联执行所必需的。`

例如，单击Chrome控制台中粗体显示的错误会导致以下JavaScript块，该块正由ASP.NET framework注入到aspx页面中

<script type="text/javascript">
//<![CDATA[
var theForm = document.forms['ctl01'];
if (!theForm) {
    theForm = document.ctl01;
}
function __doPostBack(eventTarget, eventArgument) {
    if (!theForm.onsubmit || (theForm.onsubmit() != false)) {
        theForm.__EVENTTARGET.value = eventTarget;
        theForm.__EVENTARGUMENT.value = eventArgument;
        theForm.submit();
    }
}
//]]>
</script>

我希望看到这些Google控制台错误消失，但是，我不希望允许'unsafe-inline'关键字或使用散列('sha256-uyoamcrbfm4tx/ww+6efuijxuwz3yfrt7fwutlgnpue=')或nonce('nonce-...')。欢迎提供任何帮助/指示/支持。