CSP（コンテンツセキュリティポリシー） とは？

たとえば「このページのスクリプトはhttps://example.comからのものだけ実行していい」と指定できるんだ。攻撃者がXSSで悪意のあるスクリプトを注入しても、許可されたソース以外のスクリプトはブラウザが実行を拒否してくれるよ。

HTTPヘッダに「Content-Security-Policy: script-src 'self' https://cdn.example.com」のように書くよ。これは「スクリプトは自分のサイトとcdn.example.comからのものだけ許可」という意味。'self'は自分自身のオリジンを指すんだ。

デフォルトではインラインスクリプト（HTMLに直接書くscriptタグ）は禁止されるよ。これはXSS対策としては正しいんだけど、既存のサイトに導入するとき困ることがあるんだ。nonce（使い捨ての識別子）やhash（スクリプトのハッシュ値）を使えば、特定のインラインスクリプトだけ許可できるよ。

いい心配だね。Content-Security-Policy-Report-Onlyヘッダを使うと、ポリシー違反をレポートするだけでブロックはしないモードで試せるよ。まずこれで問題箇所を洗い出して、修正してから本番のCSPに切り替えるのが安全な導入方法だよ。