Utilizzo della rete CDN per il browser MSAL

Oltre a npm, msal può essere ottenuto tramite CDN ospitate da Microsoft.

NOTA: A partire da MSAL.js v3 msal-browser non è più ospitato nella rete CDN. Se si usa msal-browser dalla rete CDN, è necessario scaricare msal-browser da npm e scegliere una delle alternative seguenti prima dell'aggiornamento:

1. Utilizzare la build ESM (consigliata)
2. Estrarre lib/msal-browser.js o lib/msal-browser.min.js dal pacchetto scaricato e usarlo come asset statico con l'app o ospitarlo nella rete CDN

Migliori pratiche

• Usare la versione più recente di MSAL.js v2.
• Usare la versione minimizzata in produzione e quella non minimizzata per lo sviluppo.
• Usare la rete CDN Microsoft anziché le reti CDN di terze parti.
• Usare l'area della rete CDN più vicina agli utenti.
• Usa gli attributi async o defer per non bloccare il rendering della pagina.
• Usare l'attributo per garantire l'integrità integrity delle compilazioni della rete CDN.
• Il supporto per IE11 richiede un polyfill per Promise (maggiori informazioni sul supporto per IE11).

Utilizzo di base

<script type="text/javascript" src="https://alcdn.msauth.net/browser/2.35.0/js/msal-browser.min.js"></script>

Compilazioni nonminificate

Oltre alle compilazioni minimizzate, sono disponibili anche build nonminificate per ogni versione (come msal-browser.js invece di msal-browser.min.js)

<!-- Replace <version> with desired version, e.g. 2.3.0 -->
<script type="text/javascript" src="https://alcdn.msauth.net/browser/<version>/js/msal-browser.js"></script>

Area alternativa

Microsoft offre build della rete CDN ospitate in due aree diverse, Stati Uniti occidentali ed Europa settentrionale.

Fallback della rete CDN

Nel caso improbabile che una compilazione della rete CDN sia interrotta o che la rete CDN stessa non sia accessibile, un'applicazione può usare l'altra area della rete CDN come fallback:

<script type="text/javascript" src="https://alcdn.msauth.net/browser/2.3.0/js/msal-browser.min.js"></script>
<script type="text/javascript">
    if(typeof msal === 'undefined')document.write(unescape("%3Cscript src='https://alcdn.msftauth.net/browser/2.3.0/js/msal-browser.min.js' type='text/javascript' %3E%3C/script%3E"));
</script>

Nota: Questo metodo di utilizzo document.write può essere bloccato in determinati browser in determinate situazioni. Altre informazioni sono disponibili qui.

Integrità della sottorisorsa

Da MDN:

L'integrità della sottorisorsa (SRI) è una funzionalità di sicurezza che consente ai browser di verificare che le risorse recuperate (ad esempio da una rete CDN) vengano recapitate senza modifiche impreviste. Funziona consentendo di fornire un hash crittografico che deve corrispondere a una risorsa recuperata.

L'uso di reti per la distribuzione di contenuti (CDN) per ospitare file come script e fogli di stile condivisi tra più siti può migliorare le prestazioni del sito e risparmiare larghezza di banda. Tuttavia, l'uso delle reti CDN comporta anche un rischio, in quanto se un utente malintenzionato ottiene il controllo di una rete CDN, l'utente malintenzionato può inserire contenuto dannoso arbitrario nei file della rete CDN (o sostituire completamente i file) e quindi può anche potenzialmente attaccare tutti i siti che recuperano i file dalla rete CDN.

L'integrità delle sottorisorse consente di attenuare alcuni rischi di attacchi come questo, assicurandosi che i file recuperati dall'applicazione Web o dal documento Web (da una rete CDN o da qualsiasi posizione) siano stati recapitati senza che in tali file siano stati inseriti contenuti aggiuntivi e senza apportare altre modifiche di qualsiasi tipo a tali file.

È consigliabile usare hash SRI con build della rete CDN di MSAL.js per proteggere l'applicazione e gli artefatti di autenticazione (ad esempio i token di accesso) che MSAL.js archivia nel browser.

Esempio di hash SRI di MSAL.js

<script
    type="text/javascript"
    src="https://alcdn.msauth.net/browser/2.3.0/js/msal-browser.min.js"
    integrity="sha384-o+Sncs5XJ3NEAeriM/FV8YGZrh7mZk4GfNutRTbYjsDNJxb7caCLeqiDabistgwW"
    crossorigin="anonymous"></script>

Note sull'hash SRI

• Ogni hash sarà univoco per la versione di MSAL.js v2 e non cambierà.
• L'uso dell'hash SRI è facoltativo per le build CDN di MSAL.js.
• Se l'attributo integrity viene usato per MSAL.js compilazioni della rete CDN v2, l'attributo crossorigin deve essere impostato su "anonymous".
• Se si ritiene che le build della rete CDN siano state compromesse, informarci immediatamente.

Cronologia hash SRI