Thymeleaf th:nonce 이용시 nonce 값이 안들어가는 이유

Question

안녕하세요. CSP 관련 요청사항을 반영하던중, nonce를 적용하여 해결하는 경우가 많다고 들어 적용하려고하고있습니다.인터셉터의 prehandle에서 우선 nonce를 생성한 뒤, posthandle에서 modelAndView가 존재하는 경우 request에 담아둔 nonce를 넣는 방식으로 해결하고자 하였는데요.th:nonce2, th:attr="nonce2=${nonce}"이러한 식으로 엉뚱한 속성명을 지칭하면 제대로 값이 들어가지만,th:nonce, th:attr="nonce=${nonce}"이렇게 제대로 값을 적는 경우 속성 내 값에 들어가지않고있습니다.혹시 이유를 알 수 있을까요?nonce는 String nonce = "nonce-" + Base64.getEncoder().encodeToString(SecureRandom.getSeed(16)); request.setAttribute("cspNonce", nonce); 이렇게 담아주고있습니다.방법아시면 말씀부탁드립니다 ㅠㅠ

나땅 · Answer

https://stackoverflow.com/questions/55670985/google-chrome-stripping-nonce-values-from-script-tags위 링크보며 시행착오 끝에 해결하였습니다.사실 브라우저는 nonce를 숨겨버리네요 ㅠ헤더에는 nonce-{base64string} 으로 적고, 의 방식으로 적어야 되는거였네요

Thymeleaf th:nonce 이용시 nonce 값이 안들어가는 이유

1개의 답변

Q&A 목록