CSP分析＆ビルダー

コンテンツセキュリティポリシー（CSP）は、クロスサイトスクリプティング（XSS）やデータインジェクション攻撃などの特定の種類のコンピュータセキュリティ問題を検出および緩和するのに役立つセキュリティレイヤーです。ブラウザに対し、スクリプトペイロードの実行やアセットのロードにおいて、どのドメインとソースタイプが信頼されているかを指示します。

'unsafe-inline'ディレクティブは、ブラウザが任意のインラインスクリプトやイベントハンドラーを実行することを許可します。これはクロスサイトスクリプティング（XSS）の主なベクトルであるため、インライン実行を許可すると、CSPによるXSS緩和のメリットがほとんど失われます。

default-srcやscript-srcなどのディレクティブを信頼できるソース（例：'self'）に制限し、ワイルドカード（*）や'unsafe-inline'、'unsafe-eval'などの安全でない表現を避け、承認されたインライン要素には暗号化ノンスまたはハッシュを使用します。