クラス ContentSecurityPolicyHeaderWriter

コンテンツセキュリティポリシー（CSP）レベル 2 をサポートします。

CSP は、クロスサイトスクリプティング（XSS）などのコンテンツインジェクションの脆弱性を軽減するための Web アプリケーションのメカニズムを提供します。CSP は、Web アプリケーションの作成者が、アプリケーションがリソースをロードすることを期待しているソースについてクライアント（ユーザーエージェント）に通知できるようにする宣言型ポリシーです。

例: Web アプリケーションは、特定の信頼できるソースからのスクリプトのロードのみを想定していることを宣言できます。この宣言により、クライアントは、攻撃者によってアプリケーションに挿入された悪意のあるスクリプトを検出してブロックできます。

セキュリティポリシーの宣言には、セキュリティポリシーディレクティブのセット（たとえば、script-src および object-src）が含まれ、それぞれが特定のリソース型の制限を宣言するロールを果たします。定義されているディレクティブのリストは、ディレクティブにあります。

各ディレクティブには名前と値があります。セキュリティポリシーの記述に関する詳細な構文については、構文とアルゴリズムを参照してください。

この HeaderWriter の実装は、次のいずれかのヘッダーを書き込みます。

• コンテンツセキュリティポリシー
• コンテンツ - セキュリティ - ポリシー - レポートのみ

デフォルトでは、Content-Security-Policy ヘッダーがレスポンスに含まれています。ただし、true を使用して setReportOnly(boolean) を呼び出すと、レスポンスに Content-Security-Policy-Report-Only ヘッダーが含まれます。注 : 提供されたセキュリティポリシーディレクティブは、有効になっている（含まれている）ヘッダーに使用されます。

CSP は、コンテンツインジェクションの脆弱性に対する最初の防衛線として意図されたものではありません。代わりに、CSP を使用して、コンテンツインジェクション攻撃によって引き起こされる害を軽減します。コンテンツインジェクションに対する最初の防衛線として、Web アプリケーションの作成者は、入力を検証し、出力をエンコードする必要があります。