ASP.NET MVC 3身份验证cookie无法在iframe上工作

Question

我们正在分发一个 ASP.NET MVC 3.0 应用程序（C# 和 .NET 4.0），一些客户在其上有一个 iframe 进行一些自定义，但现在它已停止工作。我认为这与我们所做的一些安全更改有关：

• 将“Content-Security-Policy”设置为“frame-ancestors 'self'”

• 强制cookie属性（在global.asax.cs中，因为在4.0中没有任何其他方法可以设置相同的站点属性）：

  • SameSite：严格
  • 安全：正确
  • 仅 Http：true

删除“Content-Security-Policy”和 cookie 重写后规则它已经起作用了。但是，当我尝试验证（用户/密码）时，不会发送验证 cookie，并且我无法重写它们，因为它们不随请求一起提供。

我在网络请求/响应的 Cookie 选项卡上看到以下消息： “通过 Set-Cookie 标头设置 cookie 的尝试被阻止，因为它具有“SameSite=Lax”属性，但来自跨站点响应，而不是对顶级导航的响应”。

我读到它与“最近的”浏览器安全更新和/或 Windows/ASP.NET 安全补丁有关，但经过一些研究，没有任何解决方案适合我......

Answer 1

我找到了解决方案：

1. 升级到.NET Framework 4.7.2：好的，我使用4.0，我计划今年升级到4.8。我已经在分支上进行了测试，并更改了该框架的一些新cookie属性。

2. 但是，我有一个在我们网站上使用iframe的客户，而且迁移至4.8并不容易，因此我找到了使用IIS的URL重写模块的解决方案。而且，我提供了一个用于内容安全策略的规则，以添加我的（）iframe页面主机。我遵循了这些链接：

   • https：//www.petefreitag.com/item/item/850.cfm
   • https://stackoverflow.com/a/a/60357945/803195

那个客户：

<rewrite>
    <outboundRules>
        <preConditions>
            <!-- Checks User Agent to identify browsers incompatible with SameSite=None -->
            <preCondition name="IncompatibleWithSameSiteNone" logicalGrouping="MatchAny">
                <add input="{HTTP_USER_AGENT}" pattern="(CPU iPhone OS 12)|(iPad; CPU OS 12)" />
                <add input="{HTTP_USER_AGENT}" pattern="(Chrome/5)|(Chrome/6)" />
                <add input="{HTTP_USER_AGENT}" pattern="( OS X 10_14).*(Version/).*((Safari)|(KHTML, like Gecko)$)" />
            </preCondition>
        </preConditions>
    
        <!-- Adds or changes SameSite to None for the session cookie -->
        <!-- Note that secure header is also required by Chrome and should not be added here -->
        <rule name="SessionCookieAddNoneHeader">
            <!-- Use this regex if your OS/framework/app adds SameSite=Lax automatically to the end of the cookie -->
            <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASP.NET_SessionId[^=]*)(=.*))(?=SameSite)" />
            <action type="Rewrite" value="{R:1}; SameSite=None; Secure=true" />
        </rule>
        <!-- Adds or changes SameSite to None for the session cookie -->
        <!-- Note that secure header is also required by Chrome and should not be added here -->
        <rule name="FormsCookieAddNoneHeader">
            <!-- Use this regex if your OS/framework/app adds SameSite=Lax automatically to the end of the cookie -->
            <match serverVariable="RESPONSE_Set-Cookie" pattern="((.*)(ASPXFORMSAUTH[^=]*)(=.*))(?=SameSite)" />
            <action type="Rewrite" value="{R:1}; SameSite=None; Secure=true" />
        </rule>
        <rule name="RewriteContentSecurityPolicy">
            <match serverVariable="RESPONSE_Content-Security-Policy" pattern="(.*)" />
            <action type="Rewrite" value="{R:0} iframehost" />
        </rule>
    
        <!-- Removes SameSite=None header from all cookies, for most incompatible browsers -->
        <rule name="CookieRemoveSameSiteNone" preCondition="IncompatibleWithSameSiteNone">
            <match serverVariable="RESPONSE_Set-Cookie" pattern="(.*)(SameSite=None)" />
            <action type="Rewrite" value="{R:1}" />
        </rule>
    </outboundRules>
</rewrite>