CSP 콘텐츠 보안 정책

CSP는 웹 페이지가 불러오거나 실행할 수 있는 자원 등을 브라우저에 정책으로 전달하는 콘텐츠 보안 정책입니다.

스크립트와 프레임 등의 출처 및 실행 조건을 제한할 수 있습니다. 정책을 적용하는 헤더와 보고 전용 헤더는 실제 차단 여부가 다릅니다.

허용한 스크립트 출처와 요청별 nonce를 사용하는 정책으로 의도하지 않은 코드 실행 경로를 줄이는 구성이 있습니다.

출처 허용 목록, nonce와 해시 기반 허용은 관리 방식이 다릅니다. CSP Level 3의 기능은 브라우저 지원과 각 지시어의 동작 조건을 확인해야 합니다.

느슨한 예외를 추가하면 정책 효과가 크게 줄어들 수 있습니다. CSP만으로 XSS가 고쳐졌다고 보지 말고 정상 자원 로딩, 우회 가능성과 보고 내용을 함께 검토합니다.

이 절의 용어: CSP nonce / CSP 실행 허용 난수

CSP nonce는 정책과 승인한 스크립트 등의 요소에 연결해 실행을 허용하는 예측하기 어려운 값입니다. 일반적으로 응답마다 새 값을 사용하고 신뢰하지 않는 내용에 복사하지 않도록 해야 합니다. 고정 문자열을 nonce처럼 재사용하는 설계는 목적에 맞지 않습니다.