2026-10-31
서드파티 스크립트 안전하게 관리하기: 목록 정리, SRI, CSP, 폼 전송 대상 확인
서드파티 스크립트는 자신이 실행되는 페이지의 내용과 사용자의 입력을 읽을 수 있다. 제공자가 침해되거나 파일이 바뀌면 내 서버가 무사해도 사용자가 영향을 받는다. 방어 순서는 실행 중인 것을 모두 적고, 필요 없는 것을 빼고, 내용이 고정된 파일에는 SRI를 붙이거나 검토한 버전을 직접 배포하고, CSP로 불러오는 곳과 보내는 곳을 좁히고, 변화를 정기적으로 점검하는 것이다. CSP의 form-action은 default-src로 대체되지 않으므로 따로 설정한다.