asp.net-core – 从ASP.NET Core 2.1应用程序中删除“Server”标头

是否可以删除ASP.NET Core 2.1应用程序中的服务器响应标头(在带有IIS 10的Server 2016上运行)？

我尝试将以下内容放在web.config中：

<system.webServer>
    <httpProtocol>
        <customHeaders>
            <add name="x-frame-options" value="sameorigin" />
            <add name="X-XSS-Protection" value="1; mode=block" />
            <add name="X-Content-Type-Options" value="nosniff" />
            <remove name="X-Powered-By" />
            <remove name="Server" />
        </customHeaders>
    </httpProtocol>
</sytem.webServer>

响应的前四个更改工作正常,但未删除Server标头.我还是看“红隼”

解决方法

Kestrel Server标头在请求管道中添加得太晚.因此,无法通过web.config或中间件删除它.

您可以通过在KestrelServerOptions上将AddServerHeader property设置为false来删除Server标头,这可以在Program.cs中完成.

public static IWebHostBuilder CreateWebHostBuilder(string[] args) =>
    WebHost.CreateDefaultBuilder(args)
        .UseKestrel(options => options.AddServerHeader = false)
        .UseStartup<Startup>();