content-security-policy 문제로 랜딩 페이지 플러그인에서 script 태그가 작동하지 않음

[awesomerobot (Kris)]

이 게시물에 도움이 될 수 있는 정보가 있습니다: Mitigate XSS Attacks with Content Security Policy

@Discourse

CSP 및 서드파티 통합

Google Tag Manager, Google Analytics 또는 광고 서비스와 같은 서드파티 서비스를 사용하는 경우 CSP 설정을 조정해야 할 수 있습니다. Discourse 버전 3.3.0.beta1 이상에서는 대부분의 경우 ‘strict-dynamic’ CSP 구현 덕분에 추가 구성 없이 외부 스크립트가 작동합니다.

문제가 발생하는 경우 다음 작업을 수행해야 할 수 있습니다:

1. 브라우저 콘솔을 모니터링하여 필요한 스크립트 소스를 식별합니다.
2. 필요한 소스를 content_security_policy_script_src 설정에 추가합니다.
3. 외부 리소스를 로드하는 광고 서비스와 같은 복잡한 통합의 경우, 크로스 도메인 렌더링을 활성화해야 할 수 있습니다(이를 수행하는 discourse-adplugin의 예시 PR 참조).

모범 사례

1. 잠재적인 문제를 식별하기 위해 CSP Report-Only 모드에서 시작합니다.
2. 합법적인 위반 사항을 해결하면서 CSP를 점진적으로 강화합니다.
3. CSP 설정을 정기적으로 검토하고 필요에 따라 조정합니다.
4. 'unsafe-eval' 또는 'wasm-unsafe-eval'과 같은 허용적인 지시문을 추가할 때는 주의합니다.
5. 최신 CSP 개선 사항을 활용하기 위해 Discourse 인스턴스를 최신 상태로 유지합니다.