Menu

Next.jsアプリケーションにコンテンツセキュリティポリシー（CSP）を設定する方法

コンテンツセキュリティポリシー（CSP）は、クロスサイトスクリプティング（XSS）、クリックジャッキング、その他のコード注入攻撃などのさまざまなセキュリティ脅威からNext.jsアプリケーションを保護するために重要です。

CSPを使用することで、開発者はコンテンツソース、スクリプト、スタイルシート、画像、フォント、オブジェクト、メディア（音声、動画）、iframe などについて、許可するオリジンを指定できます。

例

ノンス

ノンスは、一度限りの使用のために作成された一意のランダムな文字列です。CSPと併用して、特定のインラインスクリプトやスタイルの実行を選択的に許可し、厳格なCSPディレクティブをバイパスするために使用されます。

ノンスを使用する理由

CSPは悪意のあるスクリプトをブロックするように設計されていますが、インラインスクリプトが必要な正当なシナリオもあります。そのような場合、ノンスは正しいノンスを持つスクリプトの実行を許可する方法を提供します。

ミドルウェアでノンスを追加する

ミドルウェアを使用すると、ページのレンダリング前にヘッダーの追加とノンスの生成が可能になります。

ページが表示されるたびに、新しいノンスを生成する必要があります。つまり、ノンスを追加するには動的レンダリングを使用する必要があります。

例：

middleware.ts
TypeScript
import { NextRequest, NextResponse } from 'next/server'
 
export function middleware(request: NextRequest) {
  const nonce = Buffer.from(crypto.randomUUID()).toString('base64')
  const cspHeader = `
    default-src 'self';
    script-src 'self' 'nonce-${nonce}' 'strict-dynamic';
    style-src 'self' 'nonce-${nonce}';
    img-src 'self' blob: data:;
    font-src 'self';
    object-src 'none';
    base-uri 'self';
    form-action 'self';
    frame-ancestors 'none';
    upgrade-insecure-requests;
`
  // 改行文字とスペースを置換
  const contentSecurityPolicyHeaderValue = cspHeader
    .replace(/\s{2,}/g, ' ')
    .trim()
 
  const requestHeaders = new Headers(request.headers)
  requestHeaders.set('x-nonce', nonce)
 
  requestHeaders.set(
    'Content-Security-Policy',
    contentSecurityPolicyHeaderValue
  )
 
  const response = NextResponse.next({
    request: {
      headers: requestHeaders,
    },
  })
  response.headers.set(
    'Content-Security-Policy',
    contentSecurityPolicyHeaderValue
  )
 
  return response
}

デフォルトでは、ミドルウェアはすべてのリクエストで実行されます。matcherを使用して、特定のパスでミドルウェアを実行するようにフィルタリングできます。

CSPヘッダーが不要な(next/linkからの)プリフェッチや静的アセットへのマッチングを除外することをお勧めします。

middleware.ts
TypeScript
export const config = {
  matcher: [
    /*
     * 以下で始まるリクエストパス以外のすべてのパスにマッチ：
     * - api (APIルート)
     * - _next/static (静的ファイル)
     * - _next/image (画像最適化ファイル)
     * - favicon.ico (ファビコンファイル)
     */
    {
      source: '/((?!api|_next/static|_next/image|favicon.ico).*)',
      missing: [
        { type: 'header', key: 'next-router-prefetch' },
        { type: 'header', key: 'purpose', value: 'prefetch' },
      ],
    },
  ],
}

ノンスの読み取り

headersを使用して、サーバーコンポーネントからノンスを読み取ることができます：

app/page.tsx
TypeScript
import { headers } from 'next/headers'
import Script from 'next/script'
 
export default async function Page() {
  const nonce = (await headers()).get('x-nonce')
 
  return (
    <Script
      src="https://www.googletagmanager.com/gtag/js"
      strategy="afterInteractive"
      nonce={nonce}
    />
  )
}

ノンスを使用しない場合

ノンスを必要としないアプリケーションでは、next.config.jsファイルで直接CSPヘッダーを設定できます：

next.config.js
const cspHeader = `
    default-src 'self';
    script-src 'self' 'unsafe-eval' 'unsafe-inline';
    style-src 'self' 'unsafe-inline';
    img-src 'self' blob: data:;
    font-src 'self';
    object-src 'none';
    base-uri 'self';
    form-action 'self';
    frame-ancestors 'none';
    upgrade-insecure-requests;
`
 
module.exports = {
  async headers() {
    return [
      {
        source: '/(.*)',
        headers: [
          {
            key: 'Content-Security-Policy',
            value: cspHeader.replace(/\n/g, ''),
          },
        ],
      },
    ]
  },
}

バージョン履歴

ノンスを適切に処理して適用するには、Next.jsのv13.4.20+を使用することをお勧めします。

下一步

Middleware

リクエストが完了する前にコードを実行するMiddlewareの使い方を学びます。

headers

HTTPリクエストヘッダーを読み取るための関数のAPIリファレンス。