<div id="readability-page-1" class="page"><div>
 
 
 <div id="SE-9bd7060b-98e7-4729-b40e-3297ee87a572">
 1. CSP (Content Security Policy)​CSP 를 설정하는 방법에는 두가지가 있다.<ul><li>server 에서 response 할때, header 에 'Content-Security-Policy' 를 추가하는 방법</li><li>&lt;meta&gt; 태그를 통해 직접 Content-Security-Policy 를 지정하는 방법</li></ul>​CSP 설정을 하게 되면 허용된 출처의 script, style, img 등의 리소스만 실행된다. 예를 들어, 아래와 같이 CSP 를 설정하면 같은 출처 (같은 도메인) 의 리소스만 실행이 가능하다.
 </div> <div id="SE-0d8ff339-cd08-4f0d-a50b-f2406d7e4cf9">
 &lt;meta http-equiv="Content-Security-Policy" content="default-src 'self';" /&gt;
 </div> <div id="SE-a40c2865-e8aa-4141-820c-03e1b0d85668">
 이렇게 하면 다른 출처 (예상치 않은 출처) 의 리소스가 실행되지 않기 때문에 보안에는 좋겠지만, 문제는 inline script 나 inline css 등도 브라우저에 의해 차단되게 된다.
 </div> <div id="SE-4dd59d71-0485-4823-aa61-c6f563a5c2c1">
 <a href="#" onclick="return false;" data-linktype="img" data-linkdata="{&quot;id&quot; : &quot;SE-4dd59d71-0485-4823-aa61-c6f563a5c2c1&quot;, &quot;src&quot; : &quot;https://mblogthumb-phinf.pstatic.net/MjAyNTEwMDFfMTgz/MDAxNzU5Mjk4Njc0NDI4.BjMx1F50vqTnJ0nDfNdAa4FJ9HqybBE5vLEdJPZoupcg.4ppmFbFbN85z4VT4Mmnqf5o59eM3I_zQ-ZKfaCyvxqog.PNG/%EC%8A%A4%ED%81%AC%EB%A6%B0%EC%83%B7_2025-10-01_%EC%98%A4%ED%9B%84_3.04.32.png&quot;, &quot;originalWidth&quot; : &quot;1150&quot;, &quot;originalHeight&quot; : &quot;177&quot;, &quot;linkUse&quot; : &quot;false&quot;, &quot;link&quot; : &quot;&quot; }">
 <img src="https://mblogthumb-phinf.pstatic.net/MjAyNTEwMDFfMTgz/MDAxNzU5Mjk4Njc0NDI4.BjMx1F50vqTnJ0nDfNdAa4FJ9HqybBE5vLEdJPZoupcg.4ppmFbFbN85z4VT4Mmnqf5o59eM3I_zQ-ZKfaCyvxqog.PNG/%EC%8A%A4%ED%81%AC%EB%A6%B0%EC%83%B7_2025-10-01_%EC%98%A4%ED%9B%84_3.04.32.png?type=w800" data-width="693" data-height="106" alt="">
 </a>
 
 </div>
 <div id="SE-7cb41e8f-6a02-452c-a782-bf45e321a11a">
 ​2. CSP 의 다양한 옵션​일반적으로 cdn 에서 제공하는 script 나 font, image 등을 사용해야 하는 경우도 있다. 이럴때는 어떻게 해야할까?​<ul><li>도메인으로 허용</li></ul>아래와 같이 원하는 도메인을 추가해주면 해당 도메인에서 제공되는 리소스는 허용된다.도메인은 공백을 기준으로 여러개 추가 가능하다.
 </div> <div id="SE-663f12eb-c855-4b04-b632-137ddcf38368">
 &lt;meta http-equiv="Content-Security-Policy" 
 content="default-src 'self' example.com *.example.com;" /&gt;
 </div> <div id="SE-78c11d84-bc9a-47a9-ad67-0420a8d34f55">
 <ul><li>리소스마다 다르게 지정하기</li></ul>img 와 script 에 대해 다른 도메인을 지정할 수 있다.
 </div> <div id="SE-7f02196c-4264-4ba1-b6b0-3a57cf37acd1">
 &lt;meta http-equiv="Content-Security-Policy" 
 content="default-src 'self' example.com *.example.com; img-src https://*; script-src: https://cdn.com;" /&gt;
 </div> <div id="SE-aa50f393-08b8-42cd-9e49-ece2e703de9b">
 ​3. 정리​CSP 는 XSS 공격을 맞는 일종의 보안정책이지만 이것만으로는 완벽하지 않다. 따라서, 이전 포스팅들에서 정리한 내용들 (cookie directive, sanitize, escape 등) 을 함께 사용하는 것이 좋다.​또한, 오히려 CSP 로 인해 예상치 못하게 리소스가 차단될수 있으니 사용할때는 각별히 신경을 쓸 필요가 있어 보인다.​#ContentSecurityPolicy #CSP #http완벽가이드
 </div> </div></div>

나만의공간。

KIM JUNGHWAN

1. CSP (Content Security Policy) CSP 를 설정하는 방법에는 두가지가 있다. server 에서 response 할때, header 에 'Content-Security-Policy' 를 추가하는 방법  태그를 통해 직접 Content-Security-Policy 를 지정하는 방법 CSP 설정을 하게 되면 허용된 출처의 script, style, img 등의 리소스만 실행된다. 예를 들어, 아래와 같이 CSP 를 설정하면 같은 출처 (같은 도메인) 의 리소스만 실행이 가능하다. 이렇게 하면 다른 출처 (예상치 않은 출처) 의 리소스가 실행되지 않기 때문에 보안에는 좋겠지만, 문제는 inline script 나 inline css 등도 브라우저에 의해 차단되게 된다. 2. CSP 의 다양한 옵션 일반적으로.......

[HTTP] CSP (컨텐츠 보안 정책)

댓글