EU 一般数据保护条例 (GDPR) core ASP.NET 支持

作者:Rick Anderson

ASP.NET Core 提供 API 和模板,以帮助满足欧盟的一一般数据保护条例 (GDPR) 要求:

  • 项目模板包括扩展点和存根标记,你可以将其替换为隐私和使用 cookie 策略。
  • Pages/ Privacy .cshtml 页或 Views/ Home / Privacy .cshtml 视图提供了一个页面,用于详细说明站点的隐私策略。

若要启用默认许可功能,如 ASP.NET Core 3.0 模板生成的应用中的 cookie ASP.NET Core 2.2 模板中提供:

  • using Microsoft.AspNetCore.Http 添加到 using 指令的列表。

  • Cookie PolicyOptions添加到 Startup.ConfigureServices并使用 Cookie 策略添加到 Startup.Configure

    public class Startup
    {
        public Startup(IConfiguration configuration)
        {
            Configuration = configuration;
        }
    
        public IConfiguration Configuration { get; }
    
        public void ConfigureServices(IServiceCollection services)
        {
            services.Configure<CookiePolicyOptions>(options =>
            {
                // This lambda determines whether user consent for non-essential 
                // cookies is needed for a given request.
                options.CheckConsentNeeded = context => true;
                // requires using Microsoft.AspNetCore.Http;
                options.MinimumSameSitePolicy = SameSiteMode.None;
            });
    
            services.AddRazorPages();
        }
    
        public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
        {
            if (env.IsDevelopment())
            {
                app.UseDeveloperExceptionPage();
            }
            else
            {
                app.UseExceptionHandler("/Error");
                app.UseHsts();
            }
    
            app.UseHttpsRedirection();
            app.UseStaticFiles();
            app.UseCookiePolicy();
    
            app.UseRouting();
    
            app.UseAuthorization();
    
            app.UseEndpoints(endpoints =>
            {
                endpoints.MapRazorPages();
            });
        }
    }
    
  • 将 cookie 许可部分 添加到 _Layout.cshtml 文件:

            @*Previous markup removed for brevity*@
        </header>
        <div class="container">
            <partial name="_CookieConsentPartial" />
            <main role="main" class="pb-3">
                @RenderBody()
            </main>
        </div>
    
        <footer class="border-top footer text-muted">
            <div class="container">
                &copy; 2019 - RPCC - <a asp-area="" asp-page="/Privacy">Privacy</a>
            </div>
        </footer>
    
        <script src="~/lib/jquery/dist/jquery.js"></script>
        <script src="~/lib/bootstrap/dist/js/bootstrap.bundle.js"></script>
        <script src="~/js/site.js" asp-append-version="true"></script>
    
        @RenderSection("Scripts", required: false)
    </body>
    </html>
    
    
  • _ Cookie ConsentPartial.cshtml 文件添加到项目:

    @using Microsoft.AspNetCore.Http.Features
    
    @{
        var consentFeature = Context.Features.Get<ITrackingConsentFeature>();
        var showBanner = !consentFeature?.CanTrack ?? false;
        var cookieString = consentFeature?.CreateConsentCookie();
    }
    
    @if (showBanner)
    {
        <div id="cookieConsent" class="alert alert-info alert-dismissible fade show" role="alert">
            Use this space to summarize your privacy and cookie use policy. <a asp-page="/Privacy">Learn More</a>.
            <button type="button" class="accept-policy close" data-dismiss="alert" aria-label="Close" data-cookie-string="@cookieString">
                <span aria-hidden="true">Accept</span>
            </button>
        </div>
        <script>
            (function () {
                var button = document.querySelector("#cookieConsent button[data-cookie-string]");
                button.addEventListener("click", function (event) {
                    document.cookie = button.dataset.cookieString;
                }, false);
            })();
        </script>
    }
    
  • 选择 ASP.NET Core 2.2 版本,了解许可 cookie 功能。

  • 项目模板包括扩展点和存根标记,你可以将其替换为隐私和使用 cookie 策略。
  • 使用许可功能,可以请求 (并) 用户对存储个人信息 cookie 的同意。 如果用户尚未同意数据收集,并且应用将 CheckConsentNeeded 设置为 ,则非基本 不会 true cookie 发送到浏览器。
  • Cookie可以将 s 标记为基本。 即使用户未许可并禁用跟踪,基本 也将被 cookie 发送到浏览器。
  • 禁用跟踪 cookie 时,TempData 和会话不起作用。
  • 管理 Identity 页提供了一个链接,用于下载和删除用户数据。

通过示例应用,可以测试添加到 ASP.NET Core 2.1 模板中的大多数 GDPR 扩展点和 API。 有关测试说明,请参阅 自述 文件。

查看或下载示例代码如何下载

模板生成的代码中的 ASP.NET Core GDPR 支持

Razor 用项目模板创建的页和 MVC 项目包含以下 GDPR 支持:

  • Cookie PolicyOptionsUse Cookie 策略在类中设置 Startup
  • _ Cookie ConsentPartial 分部视图。 此文件中包括 " 接受 " 按钮。 用户单击 " 接受 " 按钮时, cookie 会提供许可。
  • Pages/ Privacy cshtml 页或 Views/ Home / Privacy . # 视图提供了一个页面,用于详细说明你的网站的隐私策略。 _ Cookie ConsentPartial 文件生成指向页面的链接 Privacy 。
  • 对于通过单独用户帐户创建的应用,"管理" 页提供了下载和删除 个人用户数据的链接。

CookiePolicyOptions 和使用 Cookie 策略

Cookie PolicyOptions在中进行初始化 Startup.ConfigureServices

public class Startup
{
    public Startup(IConfiguration configuration)
    {
        Configuration = configuration;
    }

    public IConfiguration Configuration { get; }

    // This method gets called by the runtime. Use this method to add services 
    // to the container.
    public void ConfigureServices(IServiceCollection services)
    {
        services.Configure<CookiePolicyOptions>(options =>
        {
            // This lambda determines whether user consent for non-essential cookies 
            // is needed for a given request.
            options.CheckConsentNeeded = context => true;
            options.MinimumSameSitePolicy = SameSiteMode.None;
        });

        services.AddDbContext<ApplicationDbContext>(options =>
            options.UseSqlServer(
                Configuration.GetConnectionString("DefaultConnection")));
        services.AddDefaultIdentity<IdentityUser>()
            .AddEntityFrameworkStores<ApplicationDbContext>();

        // If the app uses session state, call AddSession.
        // services.AddSession();

        services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_1);
    }

    // This method gets called by the runtime. Use this method to configure the 
    // HTTP request pipeline.
    public void Configure(IApplicationBuilder app, IHostingEnvironment env)
    {
        if (env.IsDevelopment())
        {
            app.UseDeveloperExceptionPage();
            app.UseDatabaseErrorPage();
        }
        else
        {
            app.UseExceptionHandler("/Error");
            app.UseHsts();
        }

        app.UseHttpsRedirection();
        app.UseStaticFiles();
        app.UseCookiePolicy();

        app.UseAuthentication();

        // If the app uses session state, call Session Middleware after Cookie 
        // Policy Middleware and before MVC Middleware.
        // app.UseSession();

        app.UseMvc();
    }
}

使用 Cookie策略 在中调用 Startup.Configure

public class Startup
{
    public Startup(IConfiguration configuration)
    {
        Configuration = configuration;
    }

    public IConfiguration Configuration { get; }

    // This method gets called by the runtime. Use this method to add services 
    // to the container.
    public void ConfigureServices(IServiceCollection services)
    {
        services.Configure<CookiePolicyOptions>(options =>
        {
            // This lambda determines whether user consent for non-essential cookies 
            // is needed for a given request.
            options.CheckConsentNeeded = context => true;
            options.MinimumSameSitePolicy = SameSiteMode.None;
        });

        services.AddDbContext<ApplicationDbContext>(options =>
            options.UseSqlServer(
                Configuration.GetConnectionString("DefaultConnection")));
        services.AddDefaultIdentity<IdentityUser>()
            .AddEntityFrameworkStores<ApplicationDbContext>();

        // If the app uses session state, call AddSession.
        // services.AddSession();

        services.AddMvc().SetCompatibilityVersion(CompatibilityVersion.Version_2_1);
    }

    // This method gets called by the runtime. Use this method to configure the 
    // HTTP request pipeline.
    public void Configure(IApplicationBuilder app, IHostingEnvironment env)
    {
        if (env.IsDevelopment())
        {
            app.UseDeveloperExceptionPage();
            app.UseDatabaseErrorPage();
        }
        else
        {
            app.UseExceptionHandler("/Error");
            app.UseHsts();
        }

        app.UseHttpsRedirection();
        app.UseStaticFiles();
        app.UseCookiePolicy();

        app.UseAuthentication();

        // If the app uses session state, call Session Middleware after Cookie 
        // Policy Middleware and before MVC Middleware.
        // app.UseSession();

        app.UseMvc();
    }
}

_CookieConsentPartial 分部视图

_ Cookie ConsentPartial 分部视图:

@using Microsoft.AspNetCore.Http.Features

@{
    var consentFeature = Context.Features.Get<ITrackingConsentFeature>();
    var showBanner = !consentFeature?.CanTrack ?? false;
    var cookieString = consentFeature?.CreateConsentCookie();
}

@if (showBanner)
{
    <nav id="cookieConsent" class="navbar navbar-default navbar-fixed-top" role="alert">
        <div class="container">
            <div class="navbar-header">
                <button type="button" class="navbar-toggle" data-toggle="collapse" data-target="#cookieConsent .navbar-collapse">
                    <span class="sr-only">Toggle cookie consent banner</span>
                    <span class="icon-bar"></span>
                    <span class="icon-bar"></span>
                    <span class="icon-bar"></span>
                </button>
                <span class="navbar-brand"><span class="glyphicon glyphicon-info-sign" aria-hidden="true"></span></span>
            </div>
            <div class="collapse navbar-collapse">
                <p class="navbar-text">
                    Use this space to summarize your privacy and cookie use policy.
                </p>
                <div class="navbar-right">
                    <a asp-page="/Privacy" class="btn btn-info navbar-btn">Learn More</a>
                    <button type="button" class="btn btn-default navbar-btn" data-cookie-string="@cookieString">Accept</button>
                </div>
            </div>
        </div>
    </nav>
    <script>
        (function () {
            document.querySelector("#cookieConsent button[data-cookie-string]").addEventListener("click", function (el) {
                document.cookie = el.target.dataset.cookieString;
                document.querySelector("#cookieConsent").classList.add("hidden");
            }, false);
        })();
    </script>
}

此部分内容:

  • 获取用户的跟踪状态。 如果应用配置为要求同意,则用户必须同意才能 cookie 跟踪。 如果需要同意,则 cookie 在由 _ 布局 cshtml 文件创建的导航栏的顶部固定同意面板。
  • 提供一个 HTML <p> 元素,用于汇总隐私和 cookie 使用策略。
  • 提供指向 Privacy 页面或视图的链接,可在其中详细说明站点的隐私策略。

基本 cookie 信息

如果尚未提供对存储的同意 cookie ,则仅 cookie 将标记为"基本"的 发送到浏览器。 以下代码至关重要 cookie :

public IActionResult OnPostCreateEssentialAsync()
{
    HttpContext.Response.Cookies.Append(Constants.EssentialSec, 
        DateTime.Now.Second.ToString(), 
        new CookieOptions() { IsEssential = true });

    ResponseCookies = Response.Headers[HeaderNames.SetCookie].ToString();

    return RedirectToPage("./Index");
}

TempData 提供程序和会话 cookie 状态不是必需的

TempData 提供程序 cookie 不是必需的。 如果禁用跟踪,TempData 提供程序将无法正常工作。 若要在禁用跟踪时启用 TempData 提供程序,在 中将 TempData 标记为 cookie 必需 Startup.ConfigureServices

// The TempData provider cookie is not essential. Make it essential
// so TempData is functional when tracking is disabled.
services.Configure<CookieTempDataProviderOptions>(options => {
    options.Cookie.IsEssential = true;
});

会话状态 cookie不是必需的。 禁用跟踪时,会话状态不起作用。 以下代码使会话 cookie 变得至关重要:

services.AddSession(options =>
{
    options.Cookie.IsEssential = true;
});

个人数据

ASP.NET 用户帐户创建的 Core 应用包括用于下载和删除个人数据的代码。

选择用户名,然后选择"个人数据":

"管理个人数据"页

说明:

  • 若要生成 Account/Manage 代码,请参阅搭建 基架 Identity
  • "删除**"和**"下载"链接仅处理默认标识数据。 必须扩展创建自定义用户数据的应用,以删除/下载自定义用户数据。 有关详细信息,请参阅向添加、下载和删除自定义用户数据 Identity
  • 当由于外键 而通过级联删除行为删除用户时,将删除存储在数据库表中的用户的已 Identity AspNetUserTokens 保存令牌
  • 接受策略之前,外部提供程序身份验证(如 Facebook 和 Google) cookie 不可用。

静态加密

某些数据库和存储机制允许静态加密。 静态加密:

  • 自动加密存储的数据。
  • 对于访问数据的软件,不对其进行配置、编程或其他操作。
  • 是最简单且最安全的选项。
  • 允许数据库管理密钥和加密。

例如:

对于不提供静态内置加密的数据库,您可以使用磁盘加密来提供相同的保护。 例如:

其他资源