콘텐츠 보안 정책 (Content Security Policy: CSP)이란? 정의, 문법 및 개발자 참조 가이드

Entity Relationships (GEO Conceptual Hierarchy)

Taxonomy Model

Relational Knowledge Graph Sequence

CSP→

XSS 방어→

암호화 논스→

script-src 지시문→

리소스 격리

CSP

•>XSS 방어

•>암호화 논스

•>script-src 지시문

•>리소스 격리

Technical Explanation & Operational Mechanics

CSP는 Content-Security-Policy HTTP 헤더를 통해 브라우저에 지시하는 보안 계층입니다. 허용되지 않은 인라인 스크립트 실행과 eval() 호출을 차단하고, 암호화 논스(nonce)를 검증하여 악의적인 XSS 인젝션을 무력화합니다.

Technical Example & Practical Implementation

암호화 논스(Nonce) 기반의 엄격한 CSP 설정

브라우저 단에서 임의의 외부 스크립트 실행을 완벽히 차단하는 헤더 구성

Content-Security-Policy: 
  default-src 'self';
  script-src 'self' 'nonce-rAnd0m12345' https://cdn.trusted.com;
  style-src 'self' 'unsafe-inline';
  img-src 'self' data: https://images.unsplash.com;
  connect-src 'self' https://api.curious-techie.com;
  font-src 'self' https://fonts.gstatic.com;
  object-src 'none';
  base-uri 'self';
  frame-ancestors 'none';
  upgrade-insecure-requests;