如何为System.Web.UI.HTMLControls HTMLForm实现严格的CSP？

Question

我在向遗留应用程序中添加适当的CSP时遇到了一些问题。

最初，我在修复HTMLControls添加的所有内联事件时遇到问题，因为我不希望策略允许这些事件。通过创建一个自定义HTMLTextWriter来处理Onclick和OnChange事件，并使用element.AddEventListener将它们绑定到适当的处理程序，我设法解决了这一问题。

现在，当一个HTMLForm似乎收到一个值为“javascript:返回WebForm_OnSubmit();”的onsubmit时，就会出现这样的问题。

<form method="post" action="./MyPage.aspx" onsubmit="javascript:return WebForm_OnSubmit();" id="form1">
...
</form>

这是由遗留应用程序中的一些自定义验证程序造成的。我的问题是，定制的html文本编写器似乎根本无法看到正在编写的表单。唯一可用的部分是表单id。

我注意到的事情：

1. 表单是自动生成的，它被添加到主文件中，设计器部分被自动更新。
2. 后面的代码只有两个属性，用于区域性代码信息和样式包的位置，以及将样式的href属性设置为样式包的位置的方法。

如何从asp.net WebForms中删除其他事件处理程序以创建符合CSP的应用程序？

Answer 1

我无法找到防止在C#中添加内联事件处理程序的方法。

相反，我使用了一个脚本标记，并将nonce附加到其中，以删除onsubmit属性，然后为submit重新添加一个事件侦听器，该侦听器将在去掉onsubmit属性后使用onsubmit属性的文本。

new Function(form1.getAttribute('onsubmit').replace('javascript:', ''));
form1.removeAttribute('onsubmit');
form1.addEventListener('submit', submitFunc);