ASP.NET Bad Practices: Compression Over Encrypted WebSocket Connection

应用程序启用了危险压缩。

该应用程序使用启用 permessage-deflate WebSocket 扩展的代码，允许通过加密连接进行压缩。启用这种类型的压缩会使应用程序受到 CRIME 和 BREACH 类型的攻击。

示例 1：以下代码将 DangerousEnableCompression 设置为 true，从而启用“per-message-deflate”扩展：

    app.Run(async context => {
        using var websocket = await context.WebSockets.AcceptWebSocketAsync(new WebSocketAcceptContext() { DangerousEnableCompression = true });
        await websocket.SendAsync(...);
        await websocket.ReceiveAsync(...);
        await websocket.CloseAsync(WebSocketCloseStatus.NormalClosure, null, default);
    });
    

示例 2：以下代码使用 DangerousDeflateOptions 设置“per-message-deflate”扩展的选项：

    using ClientWebSocket ws = new() {
        Options = {
            CollectHttpResponseDetails = true,
            DangerousDeflateOptions = new WebSocketDeflateOptions() {
                ClientMaxWindowBits = 10,
                ServerMaxWindowBits = 10
            }
        }
    };