Antiforgery, XSS und Sicherheits-Header

Das lernen Sie in dieser Lektion

• erklären, wie eine fremde Seite mit einem gefälschten Formular im Namen einer angemeldeten Person handelt, und warum SameSite allein nicht reicht
• Antiforgery in Blazor-Formularen und Minimal APIs einsetzen und DisableAntiforgery nur mit Begründung verwenden
• erklären, wie eingeschleustes Skript (XSS) in eine Seite kommt, und wissen, dass Razor kodiert und MarkupString diesen Schutz abschaltet
• beide Lücken in einem Labor ausnutzen, schließen und mit Tests belegen
• eine Content-Security-Policy mit Nonce, frame-ancestors gegen Clickjacking und weitere Sicherheits-Header setzen und testen