Trusted Types 防 XSS 攻击このトピックはコミュニティで何度も議論されてきましたが、バージョンアップに伴い多くの結論を更新する必要があります。本記事では最新バージョンに基づいて再整理します。

入門ガイド

コアロジックを理解することが重要です：

function setCSP(req, res, next) {
  const nonce = crypto.randomBytes(16).toString('base64')
  res.setHeader('Content-Security-Policy', [
    "default-src 'self'",
    `script-src 'self' 'nonce-${nonce}'`,
    "style-src 'self' 'unsafe-inline'",
    "img-src 'self' data: https:",
    "connect-src 'self' https://api.example.com",
    "frame-ancestors 'none'"
  ].join('; '))
  next()
}

パフォーマンス最適化は具体的なシナリオに合わせて行う必要があります。すべての場合に過剰な最適化が必要なわけではありません。

ソースコード分析

以下の方法で改善できます：

function setCSP(req, res, next) {
  const nonce = crypto.randomBytes(16).toString('base64')
  res.setHeader('Content-Security-Policy', [
    "default-src 'self'",
    `script-src 'self' 'nonce-${nonce}'`,
    "style-src 'self' 'unsafe-inline'",
    "img-src 'self' data: https:",
    "connect-src 'self' https://api.example.com",
    "frame-ancestors 'none'"
  ].join('; '))
  next()
}

このアプローチは半年以上本番環境で安定して稼働しており、実際に検証されています。

実際のシナリオへの応用

まず基本的な実装方法から見てみましょう：

function setCSP(req, res, next) {
  const nonce = crypto.randomBytes(16).toString('base64')
  res.setHeader('Content-Security-Policy', [
    "default-src 'self'",
    `script-src 'self' 'nonce-${nonce}'`,
    "style-src 'self' 'unsafe-inline'",
    "img-src 'self' data: https:",
    "connect-src 'self' https://api.example.com",
    "frame-ancestors 'none'"
  ].join('; '))
  next()
}

このコードは基本的な使用方法を示しています。実際のプロジェクトでは、エラー処理とエッジケースも考慮する必要があります。

最適化テクニック

この基盤の上で、さらに最適化できます：

function setCSP(req, res, next) {
  const nonce = crypto.randomBytes(16).toString('base64')
  res.setHeader('Content-Security-Policy', [
    "default-src 'self'",
    `script-src 'self' 'nonce-${nonce}'`,
    "style-src 'self' 'unsafe-inline'",
    "img-src 'self' data: https:",
    "connect-src 'self' https://api.example.com",
    "frame-ancestors 'none'"
  ].join('; '))
  next()
}

このパターンは大規模プロジェクトで非常に実用的で、メンテナンスコストを大幅に削減できます。

まとめ

• Trusted Types 防 XSS 攻击は銀の弾丸ではなく、プロジェクトの規模と技術スタックに応じて選択する必要があります
• APIを暗記するよりも、基盤となる原理を理解する方が重要です
• 本番環境で使用する前に必ず互換性の検証を行ってください
• チームコラボレーションでは、技術そのものよりも規約とドキュメントの方が重要です