zenn/sori.studio
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

CSP 차단 출처 분류 보강

Browse Source
This commit is contained in:
zenn
2026-07-29 17:34:43 +09:00
parent 9113711a8a
commit 93eb5dd96d
9 changed files with 28 additions and 10 deletions
Download Patch File Download Diff File Expand all files Collapse all files

4
docs/history.md
View File

@@ -1,3 +1,7 @@
## 2026-07-29 v1.12.11 — CSP unknown은 가능한 한 구분해서 관찰한다
`frame-src unknown`처럼 출처가 비어 보이는 보고는 실제 외부 서비스 차단인지, 빈 iframe·`about:blank`·브라우저 확장 프로그램이 만든 보고인지 구분하기 어렵다. Report-Only 관찰 초반에는 이런 분류가 허용 목록 판단의 잡음을 크게 만들 수 있으므로, 빈 blocked-uri는 `empty`, `about:blank` 계열은 `about:`, 확장 프로그램 URL은 브라우저별 extension scheme으로 따로 집계한다. 이 값들은 외부 origin 허용 후보가 아니라 원인 추적용 신호로만 본다.
## 2026-07-29 v1.12.10 — CSP 허용 후보는 자동 적용이 아니라 검토 보조로 둔다
Report-Only 위반 집계에서 반복되는 외부 origin은 강제 CSP로 넘어갈 때 허용 목록 후보가 될 수 있지만, 모든 위반이 곧바로 정상 출처라는 뜻은 아니다. 따라서 관리자 대시보드는 `script-src-elem` 같은 세부 지시어를 실제 정책 지시어로 묶고 `http(s)` origin만 허용 후보로 표시하되, 정책 문자열을 자동 생성하거나 적용하지 않는다. 운영자는 후보를 보고 광고·사용자 코드·외부 미디어의 정상 동작 여부를 확인한 뒤 별도 배포에서 강제 정책을 단계적으로 넓힌다.