zenn/sori.studio
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

CSP 허용 후보 표시 추가

Browse Source
This commit is contained in:
zenn
2026-07-29 16:12:56 +09:00
parent c4493bb7b2
commit 9113711a8a
13 changed files with 215 additions and 17 deletions
Download Patch File Download Diff File Expand all files Collapse all files

4
docs/history.md
View File

@@ -1,3 +1,7 @@
## 2026-07-29 v1.12.10 — CSP 허용 후보는 자동 적용이 아니라 검토 보조로 둔다
Report-Only 위반 집계에서 반복되는 외부 origin은 강제 CSP로 넘어갈 때 허용 목록 후보가 될 수 있지만, 모든 위반이 곧바로 정상 출처라는 뜻은 아니다. 따라서 관리자 대시보드는 `script-src-elem` 같은 세부 지시어를 실제 정책 지시어로 묶고 `http(s)` origin만 허용 후보로 표시하되, 정책 문자열을 자동 생성하거나 적용하지 않는다. 운영자는 후보를 보고 광고·사용자 코드·외부 미디어의 정상 동작 여부를 확인한 뒤 별도 배포에서 강제 정책을 단계적으로 넓힌다.
## 2026-07-29 v1.12.9 — CSP 강제 전환 전 관찰 경로를 관리자 화면에 둔다
CSP 호환 정책은 광고 코드와 사용자가 작성한 사이트 코드, 외부 이미지·iframe 출처에 직접 영향을 줄 수 있으므로 운영 위반 보고를 충분히 본 뒤에만 강제 정책으로 확대해야 한다. 기존에는 `csp_violation_aggregates`를 DB에서 직접 확인해야 해서 반복 관찰 비용이 컸다. 따라서 관리자 대시보드에 최근 30일 위반 상위 항목을 표시해 정상 출처와 반복 오탐을 운영 화면에서 먼저 분류하고, 실제 차단 정책은 별도 배포에서 단계적으로 강화한다.