CSP Hash

CSP ハッシュは、CSP ヘッダーに添付されるインラインスクリプト／スタイルの内容のハッシュであり、内容がハッシュと一致するインライン要素だけを許可する。

目的

CSP を緩めずに特定のインラインスクリプトを静的に許可する。内容が固定されたインラインスクリプトに向く。

メカニズム

インラインスクリプトの内容の SHA-256/384/512 ハッシュを計算し、CSP ヘッダーに script-src 'sha256-abc...' を含めると、内容ハッシュが一致する <script> だけが許可される。内容を変えるにはハッシュの更新が必要である。

ユースケース

静的なインラインスクリプトの許可
CSP の強化
XSS への防御

関連ツール

HTTP ステータスコードリファレンス

Reference table of common HTTP status codes (1xx-5xx) with names, categories, and descriptions。無料、プライベート、100%クライアントサイド。

ハッシュ計算ツール

Compute MD5, SHA-1, SHA-256, or SHA-512 hashes with hex or Base64 output。無料、プライベート、100%クライアントサイド。

References