개요

worker-src 는 Web Worker, Shared Worker, Service Worker 로 로드할 수 있는 스크립트의 출처를 제어합니다. 미지정 시 child-src → script-src → default-src 순으로 폴백합니다.

자세히

값으로 'self', 워커 스크립트 호스트, 그리고 흔히 blob: 를 지정합니다. 많은 라이브러리가 URL.createObjectURL(new Blob([...])) 로 워커를 인라인 생성하므로 blob: 허용이 필요한 경우가 잦습니다. Service Worker 는 원점(same-origin)에서만 등록되는 것이 원칙이라 'self' 로 충분한 편이지만, 워커 내부에서 importScripts() 로 추가 스크립트를 불러오면 그 대상은 worker-src(스크립트 로딩)와 connect-src(fetch)를 함께 고려해야 할 수 있습니다.

폴백 체인 때문에 worker-src 를 지정하지 않으면 script-src 정책이 적용됩니다. script-src 가 nonce 기반으로 엄격히 잠겨 있으면 워커 생성이 예기치 않게 막힐 수 있으므로, 워커를 쓰는 사이트는 worker-src 를 명시적으로 열어주는 것이 안전합니다.

문법

Content-Security-Policy: worker-src 'self' blob:

실무 참고

• 인라인/라이브러리 워커는 blob: 로 생성되는 경우가 많아 worker-src 에 blob: 가 필요할 수 있습니다.
• worker-src 미지정 시 script-src(그다음 default-src)로 폴백되므로, 엄격한 script-src 가 워커를 막을 수 있습니다.
• Service Worker 는 원칙적으로 same-origin 등록이라 대개 'self' 로 충분합니다.

관련 지시어