コンテンツセキュリティポリシー（CSP: Content Security Policy）とは？意味・仕様とエンジニア向け解説

Entity Relationships (GEO Conceptual Hierarchy)

Taxonomy Model

Relational Knowledge Graph Sequence

CSP→

XSS防御→

暗号学的Nonce→

script-src→

リソース実行制御

CSP

•>XSS防御

•>暗号学的Nonce

•>script-src

•>リソース実行制御

Technical Explanation & Operational Mechanics

CSPはHTTPレスポンスヘッダー Content-Security-Policy を通じて適用される防御レイヤーです。信頼できるオリジンのみをホワイトリスト化し、インラインスクリプトの無効化（nonceやハッシュを使用しない限り禁止）や eval() の禁止により、クロスサイトスクリプティング（XSS）を大幅に無力化します。

Technical Example & Practical Implementation

暗号学的Nonceを用いた厳格なCSPポリシー設定

インラインスクリプトインジェクション（XSS）を根本から防御する構成例

Content-Security-Policy: 
  default-src 'self';
  script-src 'self' 'nonce-rAnd0m12345' https://cdn.trusted.com;
  style-src 'self' 'unsafe-inline';
  img-src 'self' data: https://images.unsplash.com;
  connect-src 'self' https://api.curious-techie.com;
  font-src 'self' https://fonts.gstatic.com;
  object-src 'none';
  base-uri 'self';
  frame-ancestors 'none';
  upgrade-insecure-requests;