CSP strict-dynamic
CSP strict-dynamic は、nonce/hash で既に許可されたスクリプトが動的に追加したスクリプトを信頼し、動的スクリプトごとのホワイトリスト登録を不要にする。
目的
SPA や動的スクリプトでの CSP 導入を簡単にする。信頼できるスクリプトが読み込むスクリプトを信頼する。
メカニズム
script-src 'nonce-abc' 'strict-dynamic' を指定すると、nonce を持つスクリプトが動的に挿入する <script> タグは自動的に信頼される（信頼の伝播）。リスト登録は不要である。注入された信頼できないスクリプトは nonce を持たず、ブロックされたままになる。
ユースケース
- SPA での CSP 導入
- 動的スクリプトの信頼
- CSP の簡素化