個人開発でシステムを作る場合の注意点その2（CSP、HSTS、CORS、CSRF）

var builder = WebApplication.CreateBuilder(args);
builder.Services.AddControllersWithViews();

var app = builder.Build();

app.Use(async (context, next) =>
{
    // まずは Report-Only 推奨（違反を収集してから本番適用）
    context.Response.Headers["Content-Security-Policy-Report-Only"] =
        "default-src 'self'; " +
        "base-uri 'self'; " +
        "object-src 'none'; " +
        "frame-ancestors 'none'; " +
        "img-src 'self' data:; " +
        "font-src 'self' data:; " +
        "style-src 'self' 'unsafe-inline'; " +   // 後で nonce / hash 化推奨
        "script-src 'self'; " +                  // 後で nonce / hash 化推奨
        "connect-src 'self'; " +
        "report-to csp-endpoint;";

    // Report-To（ブラウザ対応に差あり。まずは受け口を用意するのが先）
    context.Response.Headers["Report-To"] =
        "{\"group\":\"csp-endpoint\",\"max_age\":10886400," +
        "\"endpoints\":[{\"url\":\"/csp-report\"}]}";

    await next();
});

app.UseStaticFiles();
app.MapDefaultControllerRoute();
app.Run();

from fastapi import FastAPI, Request
from fastapi.responses import Response

app = FastAPI()

CSP = (
    "default-src 'self'; "
    "base-uri 'self'; "
    "object-src 'none'; "
    "frame-ancestors 'none'; "
    "img-src 'self' data:; "
    "font-src 'self' data:; "
    "style-src 'self'; "
    "script-src 'self'; "
    "connect-src 'self'; "
    "upgrade-insecure-requests"
)

@app.middleware("http")
async def add_csp(request: Request, call_next):
    response: Response = await call_next(request)
    response.headers["Content-Security-Policy"] = CSP
    return response

using System;

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddHsts(options =>
{
    options.MaxAge = TimeSpan.FromDays(365); // 例: 1年
    options.IncludeSubDomains = true;        // サブドメインにも適用するなら
    // options.Preload = true;               // preload申請する場合だけ（後述）
    // options.ExcludedHosts.Add("example.com"); // 例外ホストが必要なら
});

builder.Services.AddControllers();

var app = builder.Build();

// 開発環境では HSTS を出さない（ブラウザに長期キャッシュされ事故りやすい）
if (!app.Environment.IsDevelopment())
{
    app.UseHsts();
}

// HTTPS リダイレクト（AzureでHTTPS Onlyにしてても入れてOK）
app.UseHttpsRedirection();

app.MapControllers();
app.Run();

from fastapi import FastAPI, Request
from fastapi.responses import Response

app = FastAPI()

HSTS_VALUE = "max-age=31536000; includeSubDomains"  # 1年

@app.middleware("http")
async def add_hsts_header(request: Request, call_next):
    response: Response = await call_next(request)
    # HTTPS のときだけ付けたい場合の簡易判定（必要なら調整）
    if request.url.scheme == "https" or request.headers.get("x-forwarded-proto") == "https":
        response.headers["Strict-Transport-Security"] = HSTS_VALUE
    return response

var builder = WebApplication.CreateBuilder(args);

builder.Services.AddCors(options =>
{
    options.AddPolicy("AllowFrontend", policy =>
    {
        policy
            .WithOrigins("https://example.com") // フロントのURL
            .AllowAnyHeader()
            .AllowAnyMethod();
    });
});

builder.Services.AddControllers();

var app = builder.Build();
// httpの場合、httpsにリダイレクト
app.UseHttpsRedirection();
// ★ UseRouting の後 / UseEndpoints の前
app.UseCors("AllowFrontend");

app.UseAuthorization();
app.MapControllers();

app.Run();

from fastapi import FastAPI
from fastapi.middleware.cors import CORSMiddleware

app = FastAPI()

origins = [
    "https://example.com",          # 本番フロント
    "http://localhost:3000",        # 開発フロント
]

app.add_middleware(
    CORSMiddleware,
    allow_origins=origins,          # ["*"] は credentials と併用不可
    allow_credentials=True,         # Cookie/認証情報を送るなら True
    allow_methods=["*"],            # ["GET","POST","OPTIONS"] などでもOK
    allow_headers=["*"],            # Authorization, Content-Type など
    expose_headers=["Content-Disposition"],  # 添付DLなら重要
)

@app.get("/api/hello")
def hello():
    return {"ok": True}