外部実行可能コンテンツ（外部のJavaScript）を禁止できますか？

Question

私はクライアント側の復号化を行うjavascriptプログラムを開発中です。コードは信頼できるソースから取得されますが、guiツールキット（semantic ui）を使用します。私はセマンティックUIをパッケージ化しましたが、セマンティックはまだGoogleからのいくつかの外部コンテンツ（フォント）を読み込みます。私は、第三者がコードを注入してクライアント側の復号化（パスワードを盗む）を妨げることがないようにしたい。ソースドメインから来ていないすべての実行可能なコンテンツを禁止することは可能でしょうか？

Answer 1

実行可能なコンテンツ（または任意のコンテンツ）を自分のドメインからのものに限定することは、完全に可能です。 Content Security Policyを使用して、おそらくscript-src 'self'; font-src 'fonts.google.com'のようなものを使用できます。 httpsも使用して、攻撃者が/スプーフィングスクリプトを改ざんするのをより困難にする必要があります。