CSP: script-src

script-src ポリシーには、 1 つまたは複数のソースが許可されています。

Content-Security-Policy: script-src <source>;
Content-Security-Policy: script-src <source> <source>;

<source> は、 CSP ソース値にあるいずれかの値を取ることができます。

なお、この同じ値のセットはすべてのフェッチディレクティブ（と 他の多くのディレクティブ）で使用できます。

この CSP ヘッダーがある場合、https://example.com からのスクリプトのみを許可します。

Content-Security-Policy: script-src https://example.com/

以下のスクリプトはブロックされ、読み込みや実行が行われません。

<script src="https://not-example.com/js/library.js"></script>

なお、インラインのイベントハンドラーも同様にブロックされます。

<button id="btn" onclick="doSomething()"></button>

これを addEventListener の呼び出しに置き換えてください。

document.getElementById("btn").addEventListener("click", doSomething);

インラインイベントハンドラーを置き換えることができない場合、 'unsafe-hashes' ソース式を使用してイベントハンドラーを使用することができます。 詳しい情報は安全ではないハッシュを参照してください。

インラインのスクリプトやスタイルを許可するために 'unsafe-inline' や、インラインブロックに一致するノンスソースまたはハッシュソースを指定することができます。 以下のコンテンツセキュリティポリシーでは、インラインの <script> 要素はすべて許可されます。

Content-Security-Policy: script-src 'unsafe-inline';

以下の <script> 要素は、ポリシーによって許可されます。

<script>
  const inline = 1;
  // …
</script>

すべてのインラインスクリプトを許可することは、セキュリティ上のリスクがあると考えられるので、代わりに nonce-source または hash-source を使用することが推奨されます。 nonce-source でインラインスクリプトとスタイルを許可するには、ランダムな値を生成して、それをポリシーに含める必要があります。

Content-Security-Policy: script-src 'nonce-2726c7f26c'

同じノンスを <script> 要素に指定する必要があります。

<script nonce="2726c7f26c">
  const inline = 1;
  // …
</script>

他にも、インラインスクリプトからハッシュを生成することができます。 CSP では sha256, sha384, sha512 に対応しています。

Content-Security-Policy: script-src 'sha256-B2yPHKaXnvFWtRChIbabYmUBFZdVfKKXHbWtWidDVF8='

ハッシュを生成するとき、 <script> タグを含めないようにし、大文字小文字と、ホワイトスペース、特に前後のホワイトスペースに注意してください。

<script>
  const inline = 1;
</script>

script-src 'sha256-{HASHED_INLINE_SCRIPT}' のようなハッシュを持つインラインリソースに対するポリシーは、そのハッシュによってスクリプトとスタイルを許可しますが、イベントハンドラーは許可しません。

<!-- Allowed by CSP: script-src 'sha256-{HASHED_INLINE_SCRIPT}' -->
<script>
  const inline = 1;
</script>

<!-- CSP: script-src 'sha256-{HASHED_EVENT_HANDLER}'
      will not allow this event handler -->
<button onclick="myScript()">Submit</button>

'unsafe-inline' を許可する代わりに、コードが同等の addEventListener 呼び出しに更新できない場合は 'unsafe-hashes' ソース表現を使用することができます。 以下のインラインイベントハンドラーを記載した HTML ページが指定されたとします。

<!-- I wan't to use addEventListener, but I can't :( -->
<button onclick="myScript()">Submit</button>

以下の CSP ヘッダーがスクリプトの実行を許可します。

Content-Security-Policy:  script-src 'unsafe-hashes' 'sha256-{HASHED_EVENT_HANDLER}'

'unsafe-eval' ソース式は、文字列からコードを生成するいくつかのスクリプト実行メソッドを制御します。 もしページに CSP ヘッダーがあり、 'unsafe-eval' が script-src ディレクティブで指定されていなかった場合、以下のメソッドはブロックされて何の効果も現れません。

• eval()
• Function()

• メソッドの文字列リテラルを setTimeout("alert(\"Hello World!\");", 500); のように渡した場合

  • setTimeout()
  • setInterval()
  • window.setImmediate

• window.execScript() 非標準 (IE < 11 のみ)

'wasm-unsafe-eval' ソース式は WebAssembly の実行を制御します。 ページが CSP ヘッダーを保有し、script-src ディレクティブで 'wasm-unsafe-eval' が指定されていない場合、WebAssembly はそのページでの読み込みと実行をブロックされます。

'wasm-unsafe-eval' ソース表現は 'unsafe-eval' よりも詳細で、WebAssembly のコンパイラー（とインスタンス化）と、例えば JavaScript で eval 処理を使用することの両方を許可しています。 'unsafe-eval' ソースキーワードが使用された場合、CSP ポリシーの 'wasm-unsafe-eval' が使用されると、このキーワードが上書きされます。

Content-Security-Policy: script-src 'wasm-unsafe-eval'

'strict-dynamic' ソース式は、マークアップ中のスクリプトに明示的に与えられた信頼が、ノンスやハッシュを伴って、そのルートスクリプトによって読み込まれるすべてのスクリプトに伝搬されることを指定します。同時に、 'self' や 'unsafe-inline' のようなホワイトリストやソース表現は無視されます。

例えば、 script-src 'strict-dynamic' 'nonce-R4nd0m' https://allowlisted.com/ のようなポリシーでは、 <script nonce="R4nd0m" src="https://example.com/loader.js"> を指定したルートスクリプトの読み込みを許可し、 loader.js で読み込まれたすべてのスクリプトにその信頼性を伝播させますが、 https://allowlisted.com/ からのスクリプトの読み込みは、ノンスを伴っているか、信頼されたスクリプトから読み込まれたものでない限り、許可しません。

Content-Security-Policy: script-src 'strict-dynamic' 'nonce-someNonce'

または

Content-Security-Policy: script-src 'strict-dynamic' 'sha256-base64EncodedHash'

ユーザーエージェントのスニッフィングを必要とせず、後方互換性のある方法として、 strict-dynamic を指定することができます。 以下のポリシー、

Content-Security-Policy: script-src 'unsafe-inline' https: 'nonce-abcdefg' 'strict-dynamic'

は、 CSP1 に対応したブラウザーでは 'unsafe-inline' https: のように動作し、 CSP2 に対応したブラウザーでは https: 'nonce-abcdefg' のように、CSP3 に対応したブラウザーでは 'nonce-abcdefg' 'strict-dynamic' のように動作します。

• Content-Security-Policy
• Sources
• <script>
• script-src-elem
• script-src-attr