CDN-Verwendung für MSAL-Browser

Zusätzlich zu npm kann msal über von Microsoft gehostete CDNs bezogen werden.

HINWEIS: Ab MSAL.js v3 msal-browser wird nicht mehr im CDN gehostet. Wenn Sie msal-browser über das CDN beziehen, müssen Sie msal-browser von npm herunterladen und vor dem Upgrade eine der folgenden Alternativen auswählen:

1. Verwenden Sie den ESM-Build (bevorzugt)
2. Extrahieren Sie lib/msal-browser.js oder lib/msal-browser.min.js aus dem heruntergeladenen Paket und stellen Sie es zusammen mit Ihrer App als statische Ressource bereit oder hosten Sie es in Ihrem eigenen CDN.

Bewährte Methoden

• Verwenden Sie die neueste Version von MSAL.js v2.
• Verwenden Sie den minifizierten Build für die Produktion und den nicht minifizierten Build für die Entwicklung.
• Verwenden Sie das Microsoft CDN anstelle von CDNs von Drittanbietern.
• Verwenden Sie die CDN-Region, die Ihren Benutzern am nächsten ist.
• Verwenden Sie die async Attribute, defer um das Rendern von Seiten nicht zu blockieren.
• Verwenden Sie das integrity Attribut, um die Integrität von CDN-Builds sicherzustellen.
• Die IE11-Unterstützung erfordert ein Promise-Polyfill (weitere Informationen zur IE11-Unterstützung).

Grundlegende Verwendung

<script type="text/javascript" src="https://alcdn.msauth.net/browser/2.35.0/js/msal-browser.min.js"></script>

Nicht minimierte Builds

Zusätzlich zu minifizierten Builds sind auch nicht minifizierte Builds für jede Version verfügbar (als msal-browser.js anstelle von msal-browser.min.js)

<!-- Replace <version> with desired version, e.g. 2.3.0 -->
<script type="text/javascript" src="https://alcdn.msauth.net/browser/<version>/js/msal-browser.js"></script>

Andere Region

Microsoft bietet CDN-Builds, die in zwei verschiedenen Regionen gehostet werden, USA West und Europa Nord.

CDN-Fallback

Im unwahrscheinlichen Fall, dass ein CDN-Build unterbrochen wird oder auf das CDN selbst nicht zugegriffen werden kann, kann eine Anwendung die andere CDN-Region als Fallback verwenden:

<script type="text/javascript" src="https://alcdn.msauth.net/browser/2.3.0/js/msal-browser.min.js"></script>
<script type="text/javascript">
    if(typeof msal === 'undefined')document.write(unescape("%3Cscript src='https://alcdn.msftauth.net/browser/2.3.0/js/msal-browser.min.js' type='text/javascript' %3E%3C/script%3E"));
</script>

Hinweis: Diese Verwendungsmethode document.write kann in bestimmten Browsern in bestimmten Situationen blockiert werden. Weitere Informationen finden Sie hier.

Unterressourcenintegrität

Von MDN:

Subresource Integrity (SRI) ist ein Sicherheitsfeature, mit dem Browser überprüfen können, ob von ihnen abgerufene Ressourcen (z. B. aus einem CDN) ohne unerwartete Manipulation übermittelt werden. Es funktioniert, indem Sie einen kryptografischen Hash bereitstellen können, den eine abgerufene Ressource erfüllen muss.

Die Verwendung von Content Delivery Networks (CDNs) zum Hosten von Dateien wie Skripts und Stylesheets, die von mehreren Websites gemeinsam genutzt werden, können die Leistung der Website verbessern und Bandbreite sparen. Die Verwendung von CDNs ist jedoch auch mit einem Risiko verbunden, denn wenn ein Angreifer die Kontrolle über ein CDN erhält, kann der Angreifer beliebige schädliche Inhalte in Dateien im CDN einfügen (oder die Dateien vollständig ersetzen) und somit auch potenziell alle Websites angreifen, die Dateien aus diesem CDN abrufen.

Die Integrität von Unterressourcen ermöglicht es Ihnen, einige Risiken von Angriffen wie diesem zu minimieren, indem Sie sicherstellen, dass die Dateien, die Ihre Webanwendung oder Ihr Webdokument abruft (von einem CDN oder von überall) übermittelt wurden, ohne dass ein Drittanbieter zusätzliche Inhalte in diese Dateien eingefügt hat – und ohne jegliche andere Änderungen jeglicher Art überhaupt an diesen Dateien vorgenommen wurden.

Es wird dringend empfohlen, SRI-Hashes mit CDN-Builds von MSAL.js zu verwenden, um Ihre Anwendung und die Authentifizierungsartefakte (z. B. Zugriffstoken), die MSAL.js im Browser speichert, besser abzusichern.

MSAL.js SRI-Hashbeispiel

<script
    type="text/javascript"
    src="https://alcdn.msauth.net/browser/2.3.0/js/msal-browser.min.js"
    integrity="sha384-o+Sncs5XJ3NEAeriM/FV8YGZrh7mZk4GfNutRTbYjsDNJxb7caCLeqiDabistgwW"
    crossorigin="anonymous"></script>

SRI-Hash-Notizen

• Jeder Hash ist für die Version von MSAL.js v2 eindeutig und ändert sich nicht.
• Die Verwendung von SRI-Hashes ist bei CDN-Builds von MSAL.js optional.
• Wenn das integrity-Attribut für MSAL.js v2 CDN-Builds verwendet wird, muss das crossorigin-Attribut auf "anonymous" gesetzt werden.
• Wenn Sie glauben, dass unsere CDN-Builds kompromittiert wurden, informieren Sie uns bitte sofort.

SRI-Hashverlauf