telexed ~ c / b4649331-800radar:40 · otherLIVE
← 피드로
NO.
#b4649331
분야
기타
출처
Simon Willison
게재
2026-05-13 04:50:45
중요도
★ 4/10 — radar 40
`CSP Allow-list Experiment`: 샌드박스 `iframe`에서 `fetch()` 허용 도메인 점진 해제
FIG-0461:1

`CSP Allow-list Experiment`: 샌드박스 `iframe`에서 `fetch()` 허용 도메인 점진 해제

`CSP Allow-list Experiment`: Interactive `fetch()` Recovery Inside Sandboxed `iframe`s

막힌 fetch()를 샌드박스 안에서 감지하고, 부모 창이 해당 도메인만 connect-src에 추가한 뒤 새로고침한다. 사용자 코드 미리보기나 앱 빌더에서 CSP를 빡세게 유지한 채 외부 API 접근만 점진 개방할 때 바로 써먹을 패턴.

[ 요점 ]
  1. default-src 'none' 수준으로 잠근 샌드박스 iframe에서도 네트워크 차단을 UX로 복구할 수 있다. 막히면 끝나는 흐름이 아니다.
  2. 차단된 fetch()에서 실패한 origin을 부모 창으로 올려 보내고, 그 주소만 connect-src 허용 목록에 넣는다. 범위를 최소화한다.
  3. 동작 흐름이 명확하다: 차단 감지 → 사용자 승인 프롬프트 → allow-list 갱신 → 새로고침. 권한 상승이 눈에 보인다.
  4. HTML 실행기, 코드 플레이그라운드, 사용자 스크립트 기능처럼 외부 API 호출 수요는 있지만 전체 권한은 주기 싫은 제품에 잘 맞는다.
원문simonwillison.net/2026/May/13/csp-allow/#atom-everything원문 보기 →

// related