Utilização de CDN para o navegador MSAL

Além do npm, msal pode ser consumido a partir de CDNs alojadas pela Microsoft.

NOTA: A partir de MSAL.js a v3 msal-browser deixa de ser alojada na CDN. Se consumir msal-browser a partir da CDN, terá de descarregar msal-browser do npm e escolher uma das seguintes alternativas antes de atualizar:

1. Utilize a build ESM (recomendada)
2. Extrai lib/msal-browser.js ou lib/msal-browser.min.js do pacote descarregado e serve-o como um ativo estático na tua aplicação ou aloja-o no teu próprio CDN

Melhores práticas

• Use a versão mais recente do MSAL.js v2.
• Utilize a versão minificada em produção e a versão não minificada durante o desenvolvimento.
• Use a CDN da Microsoft em vez de CDNs de terceiros.
• Use a região CDN mais próxima dos seus utilizadores.
• Use os async atributos ou defer para não bloquear a renderização da página.
• Use o integrity atributo para garantir a integridade das builds CDN.
• O suporte ao IE11 requer um polyfill de Promise (mais informação sobre o suporte ao IE11).

Utilização Básica

<script type="text/javascript" src="https://alcdn.msauth.net/browser/2.35.0/js/msal-browser.min.js"></script>

Construções não minificadas

Além das builds minificadas, também estão disponíveis builds não minificadas para cada versão (em msal-browser.js vez de msal-browser.min.js)

<!-- Replace <version> with desired version, e.g. 2.3.0 -->
<script type="text/javascript" src="https://alcdn.msauth.net/browser/<version>/js/msal-browser.js"></script>

Região alternativa

A Microsoft oferece compilações de CDN alojadas em duas regiões diferentes, Oeste dos EUA e Europa Norte.

Alternativa da CDN

No improvável caso de uma build da CDN estar avariada ou da própria CDN ficar inacessível, uma aplicação pode usar a outra região da CDN como plano B:

<script type="text/javascript" src="https://alcdn.msauth.net/browser/2.3.0/js/msal-browser.min.js"></script>
<script type="text/javascript">
    if(typeof msal === 'undefined')document.write(unescape("%3Cscript src='https://alcdn.msftauth.net/browser/2.3.0/js/msal-browser.min.js' type='text/javascript' %3E%3C/script%3E"));
</script>

Nota: Este método de utilização document.write pode ser bloqueado em certos navegadores em determinadas situações. Mais informações podem ser encontradas aqui.

Integridade dos Subrecursos

Do MDN:

A Integridade dos Subrecursos (SRI) é uma funcionalidade de segurança que permite aos navegadores verificar que os recursos que recolhem (por exemplo, de uma CDN) são entregues sem manipulação inesperada. Funciona permitindo-lhe indicar um hash criptográfico ao qual um recurso obtido tem de corresponder.

Utilizar Redes de Distribuição de Conteúdos (CDNs) para alojar ficheiros como scripts e folhas de estilo partilhados entre vários sites pode melhorar o desempenho do site e poupar largura de banda. No entanto, a utilização de CDNs também traz um risco, pois se um atacante tomar controlo de uma CDN, pode injetar conteúdo malicioso arbitrário nos ficheiros da CDN (ou substituir completamente os ficheiros) e, assim, pode também atacar potencialmente todos os sites que recolhem ficheiros dessa CDN.

A Integridade dos Subrecursos permite-lhe mitigar alguns riscos de ataques como este, garantindo que os ficheiros que a sua aplicação web ou documento web obtém (a partir de uma CDN ou de qualquer lugar) foram entregues sem que um terceiro tenha injetado qualquer conteúdo adicional nesses ficheiros — e sem que quaisquer outras alterações de qualquer tipo tenham sido feitas nesses ficheiros.

É vivamente recomendável utilizar hashes SRI com versões do MSAL.js distribuídas por CDN para proteger a sua aplicação e os artefactos de autenticação (por exemplo, tokens de acesso) que o MSAL.js armazena no navegador.

MSAL.js Exemplo de Hash SRI

<script
    type="text/javascript"
    src="https://alcdn.msauth.net/browser/2.3.0/js/msal-browser.min.js"
    integrity="sha384-o+Sncs5XJ3NEAeriM/FV8YGZrh7mZk4GfNutRTbYjsDNJxb7caCLeqiDabistgwW"
    crossorigin="anonymous"></script>

Notas de Hash do SRI

• Cada hash será único para a versão da MSAL.js v2 e não mudará.
• A utilização do hash SRI é opcional nas versões CDN do MSAL.js.
• Se o atributo integrity for utilizado nas compilações CDN do MSAL.js v2, o atributo crossorigin tem de ser definido como "anonymous".
• Se acredita que as nossas versões CDN foram comprometidas, por favor informe-nos imediatamente.

Histórico de Hash SRI