Sdílet prostřednictvím

Začínáme s ASP.NET Web Forms

  • Článek

The Web Forms model a jak vytvářet stránky a používat ovládací prvky.

Proč jsou ve verzi Web Live Preview blokované externí prostředky na mé stránce?

Pokud máte nějaké externí prostředky z domény třetí strany, které jsou na vaší stránce, můžete si všimnout, že návrhář ve službě Web Live Preview zabránil jejich načtení a zobrazí tuto informační zprávu:

Informační zpráva o blokovaných prostředcích

Možná vás zajímá, proč se v návrháři zablokovalo načítání prostředků a proč se informační zpráva zobrazuje. Tento článek vysvětluje, proč došlo k zablokování prostředků.

Web Live Preview (WLP) je rozšíření sady Visual Studio postavené na browserLinku. WLP používá BrowserLink k poskytování kanálu pro obousměrnou komunikaci mezi sadou Visual Studio a návrhářem. Tato obousměrná komunikace umožňuje službě WLP poskytovat mnoho funkcí:

  • Synchronizace obsahu a aktuálně vybraného uzlu v návrháři s uzlem editoru.
  • Vložení nového obsahu vytvořeného z návrháře do editoru
  • Provádění příkazů panelu akcí

Pokud na webovou stránku vložíte skripty nebo prostředky od třetí strany, může to vystavit potenciální ohrožení zabezpečení tím, že pomocí rozhraní WLP a BrowserLink provedete útok na skriptování mezi weby (XSS).

Pokud prostředek třetí strany může na web vložit škodlivý kód, může kód použít skript odkazující na prohlížeč vložený do návrháře k volání zpět do sady Visual Studio. Vložený skript může kódu umožnit zápis libovolného obsahu do souborů otevřených v sadě Visual Studio nebo otevření jiných vektorů útoku.

V současné době neexistuje žádný dobrý způsob, jak útočníkům zabránit v komunikaci se sadou Visual Studio prostřednictvím skriptu BrowserLink.

Zmírnění ohrožení zabezpečení

Co nejvíce jsme omezili a zmírnili chyby zabezpečení z komunikace prostřednictvím skriptu BrowserLink zpět do sady Visual Studio. Některé útoky však mohou být stále možné prostřednictvím útoku XSS.

Aby se snížila možnost takového útoku XSS, blokuje služba WLP ve výchozím nastavení načtení všech externích prostředků. Pokud je některý externí prostředek zablokovaný, zobrazí se v pravém horním rohu návrháře následující informační zpráva:

Informační zpráva o blokovaných prostředcích

(V tomto příkladu použijeme následující svg, což je externí prostředek používaný v ukázkové webové aplikaci: https://visualstudio.microsoft.com/wp-content/uploads/2021/10/Product-Icon.svg)

Pokud je otevřené okno Microsoft Edge DevTools , můžete si také všimnout následující zprávy vysvětlující, proč se nepodařilo načíst externí prostředek:

Blokované prostředky – zpráva DevTools

Pokud v informačním panelu návrháře vyberete odkaz Klikněte sem , zobrazí se následující dialogové okno s doménami blokovaných prostředků, které se automaticky přidají do seznamu dialogového okna:

Povolit domény

Žádné prostředky pocházející z externích domén uložených v seznamu dialogového okna nebudou ve výchozím nastavení ve službě WLP blokovány a načítají se obvyklým způsobem. Po kliknutí na OK návrhář znovu načte stránku a načte všechny dříve blokované prostředky, jejichž domény byly přidány do dialogového okna. Ujistěte se, že povolujete pouze externí domény, u kterých jste ověřili, že jsou důvěryhodné a bezpečné.

Kliknutím na odkaz Web Live Preview – externí domény v informačním přehledu se zobrazí stejné dialogové okno, ale nepřidá se do dialogového okna žádná z domén blokovaných prostředků:

Povolit domény bez přidání

K dialogovému oknem se dostanete také prostřednictvím nastavení Tools -> Options -> Web Live Preview -> Allowed external domains during design . Nastavení dialogového okna se vztahují na nainstalovanou instanci sady Visual Studio.

Nástroje – Možnosti blokovaných prostředků

Upozornění

Pokud povolíte, aby se domény ve výchozím nastavení neblokovaly, můžete se vystavit útoku XSS uvedenému výše. Opět důrazně doporučujeme povolit pouze externí domény, které můžete ověřit jako důvěryhodné a bezpečné.