blob: fff9baffd6304ca91142c177c06aef1f31bffca7 (
plain)
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
|
---
title: Content Security Policy
slug: Mozilla/Add-ons/WebExtensions/Content_Security_Policy
tags:
- WebExtensions
translation_of: Mozilla/Add-ons/WebExtensions/Content_Security_Policy
---
<div>{{AddonSidebar}}</div>
<div class="summary">
<p>WebExtension APIs で開発される拡張機能には、既定で適用される CSP(Content Security Policy の略) があります。これは<strong><a href="/ja/docs/Web/HTML/Element/script"> </a></strong><a href="/ja/docs/Web/HTML/Element/script"><script></a> と <a href="/ja/docs/Web/HTML/Element/object"><object></a> リソースから読み込まれるソースを制限し、危険な行動、例えば <code><a href="/ja/docs/Web/JavaScript/Reference/Global_Objects/eval">eval()</a></code> の使用を非許可にします。</p>
<p>この記事では CSP とは何かと、デフォルトポリシーとは何で拡張機能にはどんな意味があるのかと、拡張機能が既定の CSP を変更する方法を簡単に説明します。</p>
</div>
<p><a href="/ja/docs/Web/HTTP/CSP">Content Security Policy</a> (CSP) はウェブサイトが悪意のあるコンテンツを実行するのを防ぐのに役立つメカニズムです。ウェブサイトは サーバーから送られてくる HTTP ヘッダーを使って CSP を指定します。CSP は主に、スクリプトや組み込みプラグインといったさまざまな種類のコンテンツの合法なソースを特定することに関心を持っています。例えば、ウェブサイトは、ウェブサイト自身からの JavaScript だけを実行し、他のソースは受け付けないように指定できます。CSP はブラウザーに <code><a href="/ja/docs/Web/JavaScript/Reference/Global_Objects/eval">eval()</a></code>のような、潜在的に危険な行動を禁止するよう指示することもできます。</p>
<p>ウェブサイトと同様に、拡張機能はさまざまなソースからコンテンツを読み込めます。例えば、ブラウザーアクションのポップアップは HTML 文書として指定できて、通常のウェブページのようにさまざまなソースからの JavaScript と CSS を入れることができます:</p>
<pre class="brush: html"><!DOCTYPE html>
<html>
<head>
<meta charset="utf-8">
</head>
<body>
<!--Some HTML content here-->
<!--
Include a third-party script.
See also https://developer.mozilla.org/ja/docs/Web/Security/Subresource_Integrity.
-->
<script
src="https://code.jquery.com/jquery-2.2.4.js"
integrity="sha256-iT6Q9iMJYuQiMWNd9lDyBUStIq/8PuOW33aOqmvFpqI="
crossorigin="anonymous">
</script>
<!-- Include my popup's own script-->
<script src="popup.js"></script>
</body>
</html></pre>
<p>ウェブサイトと比較して、拡張機能は追加の特権付き API にアクセスできるので、悪意のあるコードに感染した場合、リスクは大きくなります。このため:</p>
<ul>
<li>かなり厳密な CSP がデフォルトで適用されます。<a href="/ja/Add-ons/WebExtensions/Content_Security_Policy#Default_content_security_policy">既定の content security policy</a> を見てください</li>
<li>拡張機能のオーナーは <code>content_security_policy</code> manifest.json キーを使ってデフォルトのポリシーを変更できますが、許可できるポリシーには制限があります。<code><a href="/ja/docs/Mozilla/Add-ons/WebExtensions/manifest.json/content_security_policy">content_security_policy</a></code> を見てください。</li>
</ul>
<h2 id="Default_content_security_policy" name="Default_content_security_policy">既定の content security policy</h2>
<p>拡張機能の既定の CSP は次のものです:</p>
<pre>"script-src 'self'; object-src 'self';"</pre>
<p>これは、<code><a href="/ja/docs/Mozilla/Add-ons/WebExtensions/manifest.json/content_security_policy">content_security_policy</a></code> の manifest.json key を使って明示的に CSP をセットしないあらゆる拡張機能にあてはまります。下記の結論になります:</p>
<ul>
<li>
<p><a href="/ja/Add-ons/WebExtensions/Content_Security_Policy#Location_of_script_and_object_resources"><script> と <object> リソースは拡張機能のローカルからのみ読み込みできる</a></p>
</li>
<li>
<p><a href="/ja/Add-ons/WebExtensions/Content_Security_Policy#eval()_and_friends">拡張機能は JavaScript で文字列を評価 (eval) できない</a></p>
</li>
<li>
<p><a href="/ja/Add-ons/WebExtensions/Content_Security_Policy#Inline_JavaScript">インライン JavaScript は実行されない</a></p>
</li>
</ul>
<h3 id="Location_of_script_and_object_resources" name="Location_of_script_and_object_resources">スクリプトとオブジェクトリソースの場所</h3>
<p>既定の CSP の下では、拡張機能のローカルにある <a href="/ja/docs/Web/HTML/Element/script"><script></a> と <a href="/ja/docs/Web/HTML/Element/object"><object></a> リソースだけを読み込みできます。例えば、拡張機能の文書内にこんな行があるとします:</p>
<pre class="brush: html"> <script src="https://code.jquery.com/jquery-2.2.4.js"></script></pre>
<p>これは要求したリソースを読み込みません: 静かに失敗し、このリソースから取ってきたはずのいかなるオブジェクトも見つかりません。この解決方法が 2 つあります:</p>
<ul>
<li>
<p>リソースをダウンロードして、拡張機能にパッケージして、このリソース版を参照する</p>
</li>
<li>
<p>必要なリモートオリジンを許可するために <code><a href="/ja/docs/Mozilla/Add-ons/WebExtensions/manifest.json/content_security_policy">content_security_policy</a></code> を使う</p>
</li>
</ul>
<h3 id="eval_and_friends" name="eval()_and_friends">eval() とその仲間</h3>
<p>既定の CSP の下で、拡張機能は JavaScript 内の文字列の評価を許可しません。つまり次のことは許可されません:</p>
<pre class="brush: js">eval("console.log('some output');");</pre>
<pre class="brush: js">window.setTimeout("alert('Hello World!');", 500);</pre>
<pre class="brush: js">var f = new Function("console.log('foo');");</pre>
<h3 id="Inline_JavaScript" name="Inline_JavaScript">インライン JavaScript</h3>
<p>既定の CSP ではインライン JavaScript は実行されません。これは <code><script></code> タグで直接置かれた JavaScript と、インラインイベントハンドラーの両方とも許可されず、つまり次のことは許可されません:</p>
<pre class="brush: html"><script>console.log("foo");</script></pre>
<pre class="brush: html"><div onclick="console.log('click')">Click me!</div></pre>
<p>ページが読み込まれた時にスクリプトを実行するのに <code><body onload="main()"></code> のようなコードを使っている場合、代わりに <a href="/ja/docs/Web/Events/DOMContentLoaded">DOMContentLoaded</a> か <a href="/ja/docs/Web/Events/load">load</a> をリッスンします。</p>
|
