Spring SecurityでCSP（Content-Security-Policy）対策してみた話

こんにちは、猫好きリーマンのほげPGです。

ある日、いつものようにOWASP ZAPでセキュリティチェックをしていたら、こんな警告が出ました。

「Content-Security-Policyヘッダーが設定されていません！」

……というわけで、今回は CSP（Content-Security-Policy）対策 をSpring Securityでどう実装するか、実際にやってみた内容をまとめてみます。

そもそもCSPって？

CSPは、ブラウザが読み込むリソースの種類や出所を制限することで、XSS（クロスサイトスクリプティング）などの攻撃を防ぐための仕組みです。

中でも特に厳しいのが script-src と style-src の制限。これらを適切に設定しないと、ZAP先生に怒られます。

怒られたコードたち

以下のようなコードがCSP的にはNGとされます。

怒られるコード①：onclick に直接JavaScriptを書く

<form name="logoutForm" action="/logout" method="POST">
    <a onclick="logoutForm.submit();">Logout</a>
</form>

怒られるコード②：<script> タグ内に直接JavaScriptを書く

<script>
$(window).on("load", function() {
      …
});
</script>

怒られるコード③：style 属性に直接CSSを書く

<div style="background: green;">
<h3>トップ</h3>
</div>

怒られるコード④：<style> タグ内に直接CSSを書く

<style>
    .cusor-pointer {
        cursor : pointer;
    }
</style>

つまり、インラインのJavaScriptやCSSは全部アウトということですね。

対策方法：インラインコードを外に出す

基本的な対策はシンプルで、

JavaScript → .js ファイルに分離
CSS → .css ファイルに分離

という形にします。

ただし、既存プロジェクトでこれをやるのは正直しんどい……。ファイル分け、IDの整理、共通化など、考えることが山積みです。

現実的な対応：nonce を使う

そこで登場するのが nonce（ナンス）という仕組み。

CSPヘッダーに以下のように設定します：

Content-Security-Policy: default-src 'self'; script-src 'self' 'nonce-xxxx'; style-src 'self' 'nonce-xxxx';

※ xxxx はランダムな文字列（毎回変わる）

HTML側では、<script> や <style> タグに nonce 属性を付けることで、インラインコードでも許可されるようになります。

<script nonce="xxxx"
>…
</script>

Spring Bootでの実装例

Spring SecurityでCSPヘッダーを設定するには、以下のようにします。

WebSecurityConfig.java

@Configuration
@EnableWebSecurity
public class WebSecurityConfig {
	
    @Bean
    public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception {
        http
                …
                .headers(headers -> headers
                        .contentSecurityPolicy(csp -> csp
                                .policyDirectives("default-src 'self' 'nonce-{nonce}';"
                                        + " frame-ancestors 'none'; form-action 'self';")
                                ))
                .addFilterBefore(new CspNonceFilter(), HeaderWriterFilter.class)
                .addFilterBefore(new LoginUserFilter(), UsernamePasswordAuthenticationFilter.class)
                …
        return http.build();
    }

    public static class CspNonceFilter implements Filter {
        private static final SecureRandom secureRandom = new SecureRandom();
        @Override
        public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
                throws IOException, ServletException {
            HttpServletRequest httpRequest = (HttpServletRequest) request;
            String uri = httpRequest.getServletPath();
            if (!checkStaticPath(uri)) {
                byte[] nonceBytes = new byte[16];
                secureRandom.nextBytes(nonceBytes);
                String nonce = Base64Utils.encodeToString(nonceBytes);
                request.setAttribute("cspNonce", nonce);
                chain.doFilter(request, new CspNonceResponseWrapper((HttpServletResponse) response, nonce));
            } else {
                chain.doFilter(request, response);
            }
        }
        private boolean checkStaticPath(String path) {
            return path.startsWith("/static/");
        }
    }
    
    public static class CspNonceResponseWrapper extends HttpServletResponseWrapper {
        private final String nonce;
        public CspNonceResponseWrapper(HttpServletResponse response, String nonce) {
            super(response);
            this.nonce = nonce;
        }
        private String getHeaderValue(String name, String value) {
            if (name.equals("Content-Security-Policy") && StringUtils.hasText(value)) {
                return value.replace("{nonce}", nonce);
            } else {
                return value;
            }
        }
        @Override
        public void setHeader(String name, String value) {
            super.setHeader(name, getHeaderValue(name, value));
        }
        @Override
        public void addHeader(String name, String value) {
            super.addHeader(name, getHeaderValue(name, value));
        }
    }
    
    @ControllerAdvice
    public static class CspNonceControllerAdvice {
        @ModelAttribute
        public void addAttributes(Model model, HttpServletRequest request) {
            model.addAttribute("nonce", request.getAttribute("cspNonce"));
        }
    }
}

テンプレート側の対応（Thymeleaf）

Thymeleafを使っている場合は、テンプレートに th:nonce=”${nonce}” を書くだけでOK。

…
        <form name="logoutForm" th:action="@{/logout}" method="post" class="ms-auto link-light">
          <a id="logout" th:text="#{auth.logout}">Logout</a>
        </form>
…
      <script th:nonce="${nonce}">
      $(window).on("load", function() {
        $("#logout").on('click', function(e) {
          document.logoutForm.submit();
        });
      });
      </script>
…

イベントハンドラやクラスの切り替えなど、多少の工夫は必要ですが、構成を大きく変えずに済むのが嬉しいポイントです。

まとめ