Uso de CDN para el explorador MSAL

Además de npm, msal se puede consumir desde redes CDN hospedadas en Microsoft.

NOTA: A partir de MSAL.js v3 msal-browser ya no se hospeda en la red CDN. Si consume msal-browser desde la red CDN, deberá descargar msal-browser desde npm y elegir una de las siguientes alternativas antes de actualizar:

1. Consumir la compilación ESM (preferido)
2. Extraer lib/msal-browser.js o lib/msal-browser.min.js del paquete descargado y servirlo como un recurso estático con la aplicación o hospedarlo en su propia red CDN

Prácticas recomendadas

• Use la versión más reciente de MSAL.js v2.
• Utilice la versión minimizada en producción y la versión no minimizada para desarrollo.
• Use la red CDN de Microsoft en lugar de cdn de terceros.
• Use la región de CDN más cercana a los usuarios.
• Use los atributos async o defer para no bloquear el renderizado de la página.
• Utiliza el atributo integrity para garantizar la integridad de las compilaciones de CDN.
• La compatibilidad con IE11 requiere un polyfill para Promise (más información sobre compatibilidad con IE11).

Uso básico

<script type="text/javascript" src="https://alcdn.msauth.net/browser/2.35.0/js/msal-browser.min.js"></script>

Compilaciones sin minificar

Además de las compilaciones minificadas, las compilaciones sin reducir para cada versión también están disponibles (como msal-browser.js en lugar de msal-browser.min.js).

<!-- Replace <version> with desired version, e.g. 2.3.0 -->
<script type="text/javascript" src="https://alcdn.msauth.net/browser/<version>/js/msal-browser.js"></script>

Región alternativa

Microsoft ofrece compilaciones de CDN alojadas en dos regiones diferentes: Oeste de EE. UU. y Europa del Norte.

Soporte alternativo de CDN

En el improbable caso de que una compilación de CDN esté interrumpida o que la propia red CDN no sea accesible, una aplicación puede usar la otra región de CDN como reserva:

<script type="text/javascript" src="https://alcdn.msauth.net/browser/2.3.0/js/msal-browser.min.js"></script>
<script type="text/javascript">
    if(typeof msal === 'undefined')document.write(unescape("%3Cscript src='https://alcdn.msftauth.net/browser/2.3.0/js/msal-browser.min.js' type='text/javascript' %3E%3C/script%3E"));
</script>

Nota: Este método de uso document.write puede bloquearse en determinados exploradores en determinadas situaciones. Puede encontrar más información aquí.

Integridad de subrecursos

Desde MDN:

La integridad de subrecursos (SRI) es una característica de seguridad que permite a los exploradores comprobar que los recursos que capturan (por ejemplo, desde una red CDN) se entregan sin manipulación inesperada. Funciona permitiéndote proporcionar un hash criptográfico con el que debe coincidir un recurso obtenido.

El uso de Redes de entrega de contenido (CDN) para hospedar archivos como scripts y hojas de estilos que se comparten entre varios sitios puede mejorar el rendimiento del sitio y conservar el ancho de banda. Sin embargo, el uso de CDN también conlleva un riesgo, ya que si un atacante obtiene el control de una red CDN, el atacante puede insertar contenido malintencionado arbitrario en archivos en la red CDN (o reemplazar los archivos por completo) y, por tanto, también puede atacar todos los sitios que capturan archivos de esa red CDN.

La integridad de subrecursos permite mitigar algunos riesgos de ataques como este, asegurándose de que los archivos que captura la aplicación web o el documento web (desde una red CDN o en cualquier lugar) se han entregado sin que un tercero haya insertado contenido adicional en esos archivos, y sin ningún otro cambio de ningún tipo en esos archivos.

Se recomienda usar hashes SRI con compilaciones de CDN de MSAL.js para ayudar a proteger la aplicación y los artefactos de autenticación (por ejemplo, tokens de acceso) que MSAL.js almacena en el explorador.

Ejemplo de hash SRI para MSAL.js

<script
    type="text/javascript"
    src="https://alcdn.msauth.net/browser/2.3.0/js/msal-browser.min.js"
    integrity="sha384-o+Sncs5XJ3NEAeriM/FV8YGZrh7mZk4GfNutRTbYjsDNJxb7caCLeqiDabistgwW"
    crossorigin="anonymous"></script>

Notas sobre el hash SRI

• Cada hash será único para la versión de MSAL.js v2 y no cambiará.
• El uso de hash sri es opcional para las compilaciones de cdn de MSAL.js.
• Si se utiliza el atributo integrity para las compilaciones CDN de MSAL.js v2, el atributo crossorigin debe establecerse en "anonymous".
• Si cree que nuestras compilaciones de CDN han sido comprometidas, por favor infórmenos inmediatamente.

Historial de hashes SRI