‫نگارش اول کتابخانه NetEscapades.AspNetCore.SecurityHeaders منتشر شد

• Content-Security-Policy (CSP): سیاست امنیتی محتوا، که مشخص می‌کند چه منابعی مجاز به بارگذاری در صفحه هستند.
• Permissions-Policy: سیاستی که دسترسی مرورگر به ویژگی‌های خاص مانند دوربین یا موقعیت‌یابی جغرافیایی را کنترل می‌کند.
• Cross-Origin-Opener-Policy (COOP): سیاستی برای مدیریت تعاملات بین پنجره‌های مرورگر از دامنه‌های مختلف.
• X-XSS-Protection: محافظت در برابر حملات XSS (در نسخه‌های جدیدتر منسوخ شده است).

• حذف پشتیبانی از .NET Framework و تمرکز بر .NET Core 3.1 و نسخه‌های بالاتر.
• منسوخ کردن هدرهای قدیمی مانند X-XSS-Protection و Expect-CT.
• افزودن روش‌های کمکی برای APIها و هدرهای Permissions-Policy.
• پشتیبانی از سیاست‌های مختلف برای نقاط پایانی (Endpoints) متفاوت.
• بهبود تولید Nonce (شناسه یک‌بارمصرف) برای سیاست‌های امنیتی محتوا.

<Project Sdk="Microsoft.NET.Sdk.Web">
  <ItemGroup>
    <PackageReference Include="NetEscapades.AspNetCore.SecurityHeaders" Version="1.0.0" />
  </ItemGroup>
</Project>

public void Configure(IApplicationBuilder app)
{
    app.UseSecurityHeaders();
    // سایر میان‌افزارها
}

public void ConfigureServices(IServiceCollection services)
{
    services.AddSecurityHeaderPolicies()
        .AddPolicy("default", policy => policy
            .AddContentSecurityPolicy()
            .AddDefaultSrc().Self()
            .AddScriptSrc().Self());
}

public void ConfigureServices(IServiceCollection services)
{
    services.AddSecurityHeaderPolicies()
        .AddPolicy("api", policy => policy
            .AddPermissionsPolicy()
            .AddLockedDownPermissionsPolicy());
}

@addTagHelper *, NetEscapades.AspNetCore.SecurityHeaders.TagHelpers
<script asp-add-nonce>
    var body = document.getElementsByTagName('body')[0];
    var div = document.createElement('div');
    div.innerText = "I was added using the NonceHelper";
    body.appendChild(div);
</script>

• حذف پشتیبانی از .NET Framework: با توجه به منسوخ شدن پشتیبانی ASP.NET Core از .NET Framework، این بسته نیز پشتیبانی از netstandard2.0 و نسخه‌های قدیمی‌تر را حذف کرده و بر .NET Core 3.1 و بالاتر تمرکز دارد.
• منسوخ شدن هدرهای قدیمی: هدرهایی مانند X-XSS-Protection و Expect-CT که دیگر توصیه نمی‌شوند، در این نسخه منسوخ شده‌اند.
• پشتیبانی از سیاست‌های چندگانه: توسعه‌دهندگان اکنون می‌توانند سیاست‌های متفاوتی برای نقاط پایانی مختلف تعریف کنند، که برای برنامه‌هایی با API و UI ترکیبی بسیار مفید است.
• بهبودهای Permissions-Policy: روش‌های کمکی جدیدی برای غیرفعال کردن ویژگی‌های غیرضروری مرورگر در APIها اضافه شده است، که با توصیه‌های OWASP هم‌راستا هستند.

1. آزمایش کامل: قبل از استقرار در محیط تولید، تمام سیاست‌های هدر را در محیط توسعه آزمایش کنید، زیرا تنظیمات نادرست ممکن است عملکرد برنامه را مختل کند.
2. استفاده از سیاست‌های سخت‌گیرانه برای APIها: برای APIها، تمام ویژگی‌های غیرضروری مرورگر را غیرفعال کنید تا سطح حمله کاهش یابد.
3. به‌روزرسانی منظم: با توجه به تکامل مداوم هدرهای امنیتی، بسته را به‌روز نگه دارید تا از ویژگی‌های جدید و رفع اشکالات بهره‌مند شوید.
4. بررسی مستندات OWASP: برای اطمینان از هم‌راستایی با بهترین استانداردها، توصیه‌های OWASP را مطالعه کنید.