콘텐츠 보안 정책

Outcome：Complete the task with 콘텐츠 보안 정책 (Content Security Policy)。 User context：은행 SPA는 `Content-Security-Policy-Report-Only`로 시작하고 인라인 핸들러를 제거합니다. 그 다음 `script-src 'nonce-r4…' 'strict-dynamic'; object-src 'none'; base-uri 'none'; frame-ancestors 'none'`를 적용합니다. 모든 응답에는 새롭고 추측하기 어려운 nonce가 부여됩니다. 샘플링된 위반 보고서에는 고객 URL이 기록되지 않습니다. Technical concept or control：콘텐츠 보안 정책 (Content Security Policy)。 Why it fits：추가 방어 수단으로 테스트된 엄격한 CSP를 사용하세요. 가능하면 nonce 또는 해시를 사용하세요. 변경된 정책을 완전히 적용하기 전에 보고서를 확인하세요. Do not use it when：넓은 `*` 또는 `unsafe-inline` 규칙을 강한 보안처럼 다루거나 추측 가능한 nonce를 재사용하지 마세요. CSP는 일반 XSS 방지를 대체하지 못합니다. Engineering requirements: Define inputs, outputs, contracts, and rules that must always hold. Set authorization and input checks. Define failures, timeouts, retries, one-time effects, data moves, and compatibility limits. Operations: Add useful signals and logs that hide sensitive data. Set capacity limits and write an operator guide. Test recovery and rollback. Acceptance criteria: Contract and failure-path tests pass. Data and authorization rules still hold during retries and partial failures. Check performance limits, monitoring, recovery, and rollback. Evidence and limits (evidence boundary)：공식 문서라고 해도 초안, 출시 후보, 최종 버전일 수 있어요. 상태와 브라우저나 플랫폼 지원 여부를 꼭 확인하세요. Unknowns to confirm: Where the code runs, data stores, traffic shape, consistency needs, and the security boundary. Also confirm the compatibility period, service goals, and rollback limits.