弊社のホームページにContent Security Policy(CSP)を導入しました

弊社のホームページにCSP(Content Security Policy)を導入しました。CSPについては、はせがわようすけ氏のスライド「5分でわかるCSP」がわかりやすいと思います。以下にスライドの一部を引用します。 具体的には、以下のように指定して使います。 Content-Security-Policy: default-src 'self' この結果、以下のようにJavaScriptの記述が制限されます。 外部のJavaScriptの読み込みは禁止 HTMLソースに記述した<script>...</script>のJavaScriptは禁止 イベント属性(onload="xxxx"など)は禁止 何も書けなくなるじゃないかと思われるかもしれませんが、JavaScriptは全て*.jsファイルに記述すればよい、ということです。 CSPは、JavaScriptのコードとデータを分離して

[YaSuYuKi]

この面倒さをどうカバーするか。インラインスクリプトをフレームワークで自動的に分離、<script>タグに書かれているスクリプトを簡単に開けるエディタを用意などがすぐ思いついたが

[akatakun]

CSP(Content Security Policy):

[miya-jan]

CSPの導入例

[tmatsuu]

そう、CSPは本当に導入がむずい。俺あきらめちゃった。

[TAKESAKO]

【CSP対応はかなり面倒な作業だという印象を受けました。やはり、インラインでJavaScriptやCSSが記述できないと「めんどうくさい」】

[shin1x1]

XSS 対策として CSP を導入

[teramako]

もし拡張機能がコンテンツのCSPの影響を受けるのであれば、それはその拡張機能の筋が悪い証拠です。DISって良いです。

[hyuki]

"サイト独自のJavaScriptを使っていないサイトであるにも関わらず、CSP対応はかなり面倒な作業だという印象を受けました。"

[sho]

stylistみたいな拡張がけっこうな割合で死んでしまうのでつらいなー。

[n2s]

「JavaScriptのコードとデータを分離して、コードは静的な*.jsファイルに記述、可変のデータはHTML側に寄せて、「可変のリソースにはJavaScriptを記述できないように制限する」」

[ockeghem]

会社ブログに書きました