Content-Security-Policy と nonce の話 - tokuhirom's blog

Content-Security-Policy と nonce の話 - tokuhirom's blog

Content-Security-Policy と nonce の話 Content-Security-Policy の nonce を利用すると、XSS の脅威を...概要を表示 Content-Security-Policy と nonce の話 Content-Security-Policy の nonce を利用すると、XSS の脅威をかなり軽減できます。 そこで、Web Application Framework ではデフォルトで対応したほうがよいのではないか、という旨を @hasegawayosuke さんから教えて頂いたので、実装について考えてみました。 とりあえず CSP の nonce はどういうものなのかを考慮するために、コード例を探していたのですが、実際に動くサンプルというものが nonce 関連のもので見当たりませんでした。 そこで、実際に動くサンプルを用意しました。 https://github.com/tokuhirom/csp-nonce-sample 以下は Sinatra で書かれたサンプルコードです。 require 'sinatr

• security
• XSS
• CSP
• javascript
• セキュリティ
• html
• HTTP
• Web