Uso de CDN para o navegador MSAL

Além do npm, msal pode ser consumido de CDNs hospedados por Microsoft.

OBSERVAÇÃO: A partir de MSAL.js v3 msal-browser não está mais hospedado na CDN. Se você consumir msal-browser da CDN, precisará baixar msal-browser do npm e escolher uma das seguintes alternativas antes de atualizar:

1. Consumir a versão ESM (preferencial)
2. Extrair lib/msal-browser.js ou lib/msal-browser.min.js do pacote baixado e servi-lo como um ativo estático com seu aplicativo ou hospedá-lo em sua própria CDN

Práticas recomendadas

• Use a versão mais recente do MSAL.js v2.
• Usar a versão minificada em produção e a versão não minificada para desenvolvimento.
• Use a CDN Microsoft em vez de CDNs de terceiros.
• Use a região da CDN mais próxima dos usuários.
• Use os async atributos ou defer para não bloquear a renderização de página.
• Use o integrity atributo para garantir a integridade de builds de CDN.
• O suporte ao IE11 requer um polyfill de Promise (mais informações sobre o suporte ao IE11).

Uso básico

<script type="text/javascript" src="https://alcdn.msauth.net/browser/2.35.0/js/msal-browser.min.js"></script>

Versões não minificadas

Além das builds minificadas, builds não minificadas para cada versão também estão disponíveis (como msal-browser.js em vez de msal-browser.min.js)

<!-- Replace <version> with desired version, e.g. 2.3.0 -->
<script type="text/javascript" src="https://alcdn.msauth.net/browser/<version>/js/msal-browser.js"></script>

Região alternativa

Microsoft oferece builds de CDN hospedados em duas regiões diferentes, Oeste dos EUA e Norte da Europa.

Fallback de CDN

No caso improvável de que um build da CDN esteja quebrado ou que a CDN em si esteja inacessível, um aplicativo poderá usar a outra região da CDN como um fallback:

<script type="text/javascript" src="https://alcdn.msauth.net/browser/2.3.0/js/msal-browser.min.js"></script>
<script type="text/javascript">
    if(typeof msal === 'undefined')document.write(unescape("%3Cscript src='https://alcdn.msftauth.net/browser/2.3.0/js/msal-browser.min.js' type='text/javascript' %3E%3C/script%3E"));
</script>

Nota: Esse método de uso document.write pode ser bloqueado em determinados navegadores em determinadas situações. Encontre mais informações aqui.

Integridade de sub-fonte

De MDN:

A SRI (integridade de sub-recursos) é um recurso de segurança que permite aos navegadores verificar se os recursos que eles buscam (por exemplo, de uma CDN) são entregues sem manipulação inesperada. Funciona permitindo que você forneça um hash criptográfico ao qual um recurso obtido deve corresponder.

O uso de CDNs (Redes de Distribuição de Conteúdo) para hospedar arquivos como scripts e folhas de estilo que são compartilhados entre vários sites pode melhorar o desempenho do site e conservar a largura de banda. No entanto, o uso de CDNs também vem com um risco, pois se um invasor obtém o controle de uma CDN, o invasor pode injetar conteúdo mal-intencionado arbitrário em arquivos na CDN (ou substituir os arquivos completamente) e, portanto, também pode potencialmente atacar todos os sites que buscam arquivos dessa CDN.

A integridade do sub-recurso permite que você reduza alguns riscos de ataques como esse, garantindo que os arquivos que seu aplicativo Web ou documento Web busca (de uma CDN ou de qualquer lugar) tenham sido entregues sem que terceiros tenham injetado qualquer conteúdo adicional nesses arquivos e sem que nenhuma outra alteração de qualquer tipo tenha sido feita nesses arquivos.

É altamente recomendável usar hashes SRI com versões de CDN do MSAL.js para ajudar a proteger seu aplicativo e os artefatos de autenticação (por exemplo, tokens de acesso) que o MSAL.js armazena no navegador.

Exemplo de Hash SRI do MSAL.js

<script
    type="text/javascript"
    src="https://alcdn.msauth.net/browser/2.3.0/js/msal-browser.min.js"
    integrity="sha384-o+Sncs5XJ3NEAeriM/FV8YGZrh7mZk4GfNutRTbYjsDNJxb7caCLeqiDabistgwW"
    crossorigin="anonymous"></script>

Notas do SRI Hash

• Cada hash será exclusivo para a versão do MSAL.js v2 e não será alterado.
• O uso de hash sri é opcional para compilações de CDN MSAL.js.
• Se o integrity atributo for usado para compilações de CDN MSAL.js v2, o crossorigin atributo deverá ser definido como "anonymous".
• Se você acredita que nossos builds de CDN foram comprometidos, informe-nos imediatamente.

Histórico de hash do SRI