metaタグ HTTP-EQUIVの必要性

Question

content Security Policy: ページの設定により次のリソースの読み込みをブロックしました: inline (“script-src”)

Twitterシェア時にコンソールにこのエラーがでます。
シェア自体は行えています。

調べたところ、以下のmetaタグが必要らしく、またそれがないとXSS攻撃に弱いらしいということはわかったのですが、具体的なことがわからず質問させていただきました。

疑問）このmetaタグがないと、具体的にどんな攻撃にどのような被害にあうのか？
このmetaタグがある場合とない場合と比較して、被害の程度の違いはどうなのか？

具体的なことが知りたいのです。具体例でもいいです。

<meta HTTP-EQUIV="refresh" content="0;url='（ページのURL）'" />

webサーバ：apache

Comments

[kei344]

「調べた」ページのURLも提示してください。

[kei344]

https://teratail.com/questions/256764 この質問と内容が同じです。teratailは質問内容の編集ができるので、変更がある場合は新しい質問をするのではなく編集してください。また、こちらの質問を削除されるよう運営に連絡されることをお勧めします。 https://teratail.com/help#delete-question https://teratail.com/contact/input

Answer 1

Contents Security Policyを調べたのであればこのあたりは読まれたかもしれませんが。
コンテンツ セキュリティ ポリシー
コンテンツセキュリティポリシー (CSP)

具体的にどんな攻撃にどのような被害にあうのか

XSS攻撃の事例や体験サイトもあるので見てみてください。

このmetaタグがある場合とない場合と比較して、被害の程度の違いはどうなのか？

程度の違いというか、特定の攻撃に対してリスクを減らせるということだと思います。
CSP未対応のブラウザもあるので万能ではないでしょうね。

あと、
↓これはリダイレクト・再読み込みの指定です

<meta HTTP-EQUIV="refresh" content="0;url='（ページのURL）'" />

↓CSPの指定はこれです

<meta http-equiv="content-security-policy"  content="">