安全管理第三方指令碼：盤點、SRI、CSP 與表單送出目標的檢查

第一步是建立清單。包括直接寫在 HTML 中的指令碼、在標籤管理工具中設定的標籤，以及函式庫或外掛自行載入的內容。

逐項記錄：從哪個來源載入、屬於誰的服務、為什麼加入、在哪些頁面執行、出問題時由誰用什麼方式停用。iframe、圖片等會連線到外部伺服器的資源也一併列出，這份清單之後可以直接用於 CSP 設定。

清單中「用途不明」「沒有負責人」的項目就是移除候選。過去活動用的標籤、已經換掉的分析服務常常還留著。

登入、付款、變更密碼或電子郵件、管理後台等輸入價值高的頁面，只保留必要的指令碼。放進全站共用範本的標籤也會出現在這些頁面，所以請依頁面類型決定是否載入。對於不需要接觸頁面內容的元件，OWASP 介紹了放進其他網域的 iframe（加上 sandbox 屬性）與頁面隔離的方法。

OWASP 提醒，資料層（彙整傳給標籤之值的物件）不是隔離機制，標籤管理工具的容器可以執行自訂 JavaScript 與 HTML 標籤。並建議限制發布權限，像對待應用程式程式碼一樣審查變更。

具體可從四件事開始：只讓少數人能發布，為管理介面的帳號啟用雙重驗證，不需要時停用自訂 HTML 標籤，發布前由另一個人確認。

SRI（子資源完整性）是在 <script> 等元素的 integrity 屬性寫入檔案雜湊，瀏覽器收到的檔案不一致時拒絕載入的機制。根據 MDN，可用的雜湊是 sha256、sha384、sha512；跨來源載入時提供者需要允許 CORS，並加上 crossorigin 屬性。

SRI 只適用於有版本號的函式庫這類內容不變的檔案。用在提供者隨時更新的分析標籤上，每次更新都會無法載入。這種情況下，可以從自己的網站提供審查過的版本（OWASP 所說的 in-house mirroring），或在重要頁面上不載入。函式庫的已知漏洞，可以把 lockfile 貼到相依套件漏洞掃描器檢查。

在 CSP（Content-Security-Policy）中，依第 1 步的清單寫入允許的來源。script-src 限制指令碼的載入來源，connect-src 限制 fetch、XMLHttpRequest、WebSocket、EventSource、sendBeacon 等的連線目標（MDN）。

限制表單送出目標的 form-action 不會退回使用 default-src。MDN 說明不設定就允許任何目標。如果表單只送到自己的網站，請明確寫上 form-action 'self'。

直接強制執行可能讓正常功能停止，所以先用 Content-Security-Policy-Report-Only 只收集違規報告。MDN 指出，要接收報告需要指定 report-to，而且這個標頭不能在 <meta> 元素中使用（已棄用的 report-uri 也仍可傳送報告）。可以用 CSP 建構器試著組合。標頭整體的思路請見安全標頭的選擇方式。

第三方指令碼即使你什麼都不做也會改變。依固定間隔（例如每月一次）把清單與實際狀態比對；CSP 違規報告中出現陌生的目標時加以調查；訂閱提供者的安全通知。

把出問題時由誰、在哪個畫面停用哪個標籤寫成文件。有信用卡付款頁面的業者，也請確認 PCI DSS v4.0.1 中關於付款頁面安全的要求 6.4.3 與 11.6.1 已於 2025 年 3 月 31 日起生效（PCI SSC）。對於把帳戶資料處理全部外包給合規第三方、使用 SAQ A 的商家，這兩項要求改為一項資格條件：確認自己的網站不易受到可能影響電子商務系統的指令碼攻擊（標準本身的要求不變）。