外部CDNや外部ライブラリへの依存が増加する中、ブラウザネイティブのセキュリティ機構であるCSPとSRIが重要な役割を果たします。

1. CSPの設定方針

  • Nonceやハッシュを活用し、許可されていないスクリプトの実行をブラウザ側で制限します。
  • object-srcなどのディレクティブを適切に閉じることで攻撃経路を狭めます。

2. サブリソース完全性（SRI）

CDN配信ファイルに暗号学的ハッシュを紐付けることで、万一配信元が改ざんされた場合でも実行を未然に防ぐことが可能です。