データベースエンジニアが行く

顧客より、Webページに Content-Security-Policyを追加するように依頼を受けた。

Content-Security-Policyが何なのか知らなかったので、Webで調べて、

見よう見まねで追加した。



default-src　ホームページ本体、HTMLファイル
　　　　　　style-src やscript-srcを指定しなければStyle指定、Javascriptも含む
style-src　　 Style指定
script-src　　Javascript

self　　　　　ホームページを置いているサーバ上
unsafe-inline　HTMLファイル内に埋め込んでいる

詳しい説明はこちら
Content-Security-Policy




上記の指定では郵便番号変換が行われないことに気付いた。

script-src の指定を増やした。

script-src 'self' 'unsafe-inline' ajaxzip3.github.io yubinbango.github.io



.htaccessファイル内にも指定できる。下の例はiframeでの表示を制限している。



self　　　　　　　　自サーバ上のページ
https://ドメイン名　 指定したドメインのサーバ上のページ

指定外のサーバ上のページからこのサーバ上のページをiframe表示することはできない。