Пользовательский заголовок IIS «Content-Security-Policy» перезаписывается

Question

В настоящее время у меня есть проблема с веб-приложением SharePoint, когда все веб-сайты возвращают заголовок ответа "content-security-policy: default-src 'self'; object-src 'none'; form-action 'self'",который нарушает вид веб-сайтов с использованием Chrome или Firefox, поскольку стили не будут применены, а Javascript не будет выполнен.

Console-Log

Refused to execute inline script because it violates the following Content Security Policy directive: "default-src 'self'". 
Either the 'unsafe-inline' keyword, a hash ('sha256-WFRyoBrQbrYtLpGIdyBszDzxQni3b0V/wUirab0OhKM='), or a nonce ('nonce-...') is required to enable inline execution. 
Note also that 'script-src' was not explicitly set, so 'default-src' is used as a fallback.

Проблемы возникают только в том случае, если веб-сайты обрабатываются с использованием HTTPS.Я уже проверил заголовки ответа HTTP в IIS."content-security-policy" не указано.Если я добавлю его сам, он будет перезаписан и не будет отправлен в заголовок ответа.Установлено только два решения, которые, как я проверил, не связываются с заголовками ответов.

Кто-нибудь знает, что еще может изменить заголовок настраиваемого ответа и перезаписать тот, который определен в web.config?Или есть другой способ изменить Content-Security-Policy?

Answer 1

Я протестировал изменение заголовков ответов IIS, настроив раздел «CustomHeaders» в web.config, написав пользовательские модули IIS, которые изменили заголовки с использованием жизненного цикла запроса, а также написав дополнительные правила с помощью инструмента перезаписи URL. , Ничего не сработало ...

В итоге мы узнали, что кто-то расширил брандмауэр, который добавит новый заголовок и перезапишет мои изменения ответа HTTPS. Тайна раскрыта:)