Web Design Leaves

worker-src 'self' blob:; 

<IfModule mod_headers.c>
  Header set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; worker-src 'self' blob:; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self';"
</IfModule>

img-src 'self' https://secure.gravatar.com;
font-src 'self' data:;

<IfModule mod_headers.c>
  Header set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; worker-src 'self' blob:; img-src 'self' https://secure.gravatar.com; font-src 'self' data:; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self';"
</IfModule>

script-src 'self' 'unsafe-inline' https://www.google.com https://www.gstatic.com;

frame-src 'self' https://www.google.com https://www.gstatic.com;

<IfModule mod_headers.c>
  Header set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' https://www.google.com https://www.gstatic.com; frame-src 'self' https://www.google.com https://www.gstatic.com; style-src 'self' 'unsafe-inline'; worker-src 'self' blob:; img-src 'self' https://secure.gravatar.com; font-src 'self' data:; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self';"
</IfModule>

img-src 'self' https://secure.gravatar.com data:;

frame-src 'self' https://www.google.com https://www.gstatic.com blob:;

<IfModule mod_headers.c>
  Header set Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' https://www.google.com https://www.gstatic.com; frame-src 'self' https://www.google.com https://www.gstatic.com blob:; style-src 'self' 'unsafe-inline'; img-src 'self' https://secure.gravatar.com data:; font-src 'self' data:; worker-src 'self' blob:; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self';"
</IfModule>

header("Content-Security-Policy: default-src 'self'; "
  // script-src にハッシュを追加
  . "script-src 'self' 'sha256-h8lXIGuIe7WF5tbIq9thPrAME41HvSpKBiaDrwlZTww=' 'sha256-jshOvw6Hei5P7OyeTUBI5SUCi4GTANfXZu5ubFdT0Xg=' 'sha256-tXLJPXVDN27lgO0FxEe5u5gR/040zmcZMa1raocz4Ho='; "
  . "style-src 'self' 'unsafe-inline'; "
  . "img-src 'self' https://secure.gravatar.com data:; "
  . "font-src 'self' data:; "
  . "worker-src 'self' blob:;"
  . "frame-src 'self' https://www.google.com https://www.gstatic.com blob:; "
  . "object-src 'none'; "
  . "base-uri 'self'; "
  . "form-action 'self'; "
  . "frame-ancestors 'self';");

function my_enqueue_contact_script_style() {

  // reCAPTCHA v3 用スクリプトの読み込み
  if (is_page('confirm')) {
    // サイトキー
    $site_key = defined('RECAPTCHA_V3_SITE_KEY') ? RECAPTCHA_V3_SITE_KEY : '';
    // Google の reCAPTCHA v3 API を読み込む（ ?render=サイトキー 付き）
    wp_enqueue_script(
      'google-recaptcha-v3', // ハンドル名（id 属性は google-recaptcha-v3-js になる）
      "https://www.google.com/recaptcha/api.js?render={$site_key}",
      array(),
      null,
      true
    );
    // reCAPTCHA サイトキーを参照できるようにインラインスクリプトでグローバル変数として出力
    wp_add_inline_script(
      'recaptcha-v3-handler-js',
      'window.recaptchaV3SiteKey = "' . esc_js($site_key) . '";',
      'before'
    );
  }
  ....
}
add_action('wp_enqueue_scripts', 'my_enqueue_contact_script_style');

// グローバルで保持する nonce を生成する関数
function generate_csp_nonce() {
  // 1リクエスト内で1度だけ生成し、同じ値を返すよう static で保持
  static $nonce = '';
  if ($nonce === '') {
    $nonce = base64_encode(random_bytes(16));
  }
  return $nonce;
}

// nonce をできるだけ早い段階で生成して保持
add_action('init', function() {
  global $nonce;
  $nonce = generate_csp_nonce();
});

// reCAPTCHA v3 用スクリプトに nonce を設定
function add_nonce_to_recaptcha_script($attributes) {
  // script タグの id 属性の値で対象のスクリプトを特定して属性を追加
  if (isset($attributes['id']) && $attributes['id'] === 'google-recaptcha-v3-js') {
    // init で生成した $nonce（グローバル変数）を参照
    global $nonce;
    // scrip tタグに nonce 属性を追加（nonce=$nonce）
    $attributes['nonce'] = $nonce;
  }
  return $attributes;
}
add_filter('wp_script_attributes', 'add_nonce_to_recaptcha_script', 10, 1);

add_action('send_headers', function () {
  global $nonce; // init で生成した nonce を使い、CSPヘッダーに nonce を含めて出力

  header("Content-Security-Policy: default-src 'self'; "
    . "script-src 'self' 'nonce-{$nonce}' 'sha256-h8lXIGuIe7WF5tbIq9thPrAME41HvSpKBiaDrwlZTww=' 'sha256-jshOvw6Hei5P7OyeTUBI5SUCi4GTANfXZu5ubFdT0Xg=' 'sha256-tXLJPXVDN27lgO0FxEe5u5gR/040zmcZMa1raocz4Ho='; "
    . "style-src 'self' 'unsafe-inline'; "
    . "img-src 'self' https://secure.gravatar.com data:; "
    . "font-src 'self' data:; "
    . "worker-src 'self' blob:;"
    . "frame-src 'self' https://www.google.com https://www.gstatic.com blob:; "
    . "object-src 'none'; "
    . "base-uri 'self'; "
    . "form-action 'self'; "
    . "frame-ancestors 'self';");
});

add_action('send_headers', function () {
  global $nonce;
  header("Content-Security-Policy: default-src 'self'; "
    // ハッシュを追加
    . "script-src 'self' 'nonce-{$nonce}' 'sha256-h8lXIGuIe7WF5tbIq9thPrAME41HvSpKBiaDrwlZTww=' 'sha256-jshOvw6Hei5P7OyeTUBI5SUCi4GTANfXZu5ubFdT0Xg=' 'sha256-tXLJPXVDN27lgO0FxEe5u5gR/040zmcZMa1raocz4Ho=' 'sha256-jwTGS/uM3Y8EZmT3KOyIXu5g80UoJIV/3xty1gYA+5U='; "
    . "style-src 'self' 'unsafe-inline'; "
    . "img-src 'self' https://secure.gravatar.com data:; "
    . "font-src 'self' data:; "
    . "worker-src 'self' blob:;"
    . "frame-src 'self' https://www.google.com https://www.gstatic.com blob:; "
    . "object-src 'none'; "
    . "base-uri 'self'; "
    . "form-action 'self'; "
    . "frame-ancestors 'self';");
});

add_action('send_headers', function () {
  global $nonce;
  header("Content-Security-Policy: default-src 'self'; "
    . "script-src 'self' 'nonce-{$nonce}' 'sha256-h8lXIGuIe7WF5tbIq9thPrAME41HvSpKBiaDrwlZTww=' 'sha256-jshOvw6Hei5P7OyeTUBI5SUCi4GTANfXZu5ubFdT0Xg=' 'sha256-tXLJPXVDN27lgO0FxEe5u5gR/040zmcZMa1raocz4Ho=' 'sha256-jwTGS/uM3Y8EZmT3KOyIXu5g80UoJIV/3xty1gYA+5U='; "
    . "style-src 'self' 'unsafe-inline'; "
    . "img-src 'self' https://secure.gravatar.com data:; "
    . "font-src 'self' data:; "
    . "worker-src 'self' blob:;"
    . "frame-src 'self' https://www.google.com https://www.gstatic.com blob:; "
    . "connect-src 'self' https://www.google.com; "  // connect-src を追加
    . "object-src 'none'; "
    . "base-uri 'self'; "
    . "form-action 'self'; "
    . "frame-ancestors 'self';");
});

<IfModule mod_headers.c>
  Header set Content-Security-Policy-Report-Only "default-src 'self'; report-uri /csp-report-endpoint;"
</IfModule>

add_action('send_headers', function () {
    header("Content-Security-Policy-Report-Only: default-src 'self'; report-uri /csp-report-endpoint;");
});

<?php
// タイムゾーンを日本時間に設定
date_default_timezone_set('Asia/Tokyo');
// ブラウザから送られてきたリクエストボディ（JSONデータ）を取得
$input = file_get_contents("php://input");
// レポートを保存するファイルパスを設定
$reportFile = __DIR__ . '/csp-reports/reports.json';
// 保存先ディレクトリが存在しない場合は作成する（パーミッション700）
if (!file_exists(dirname($reportFile))) {
  mkdir(dirname($reportFile), 0700, true);
}

// 入力データが空でない場合のみ処理
if (!empty($input)) {
  // 入力をJSONとしてデコード
  $decoded = json_decode($input, true);
  // デコードが成功し、かつ何らかの内容が含まれていれば処理を続行
  if (json_last_error() === JSON_ERROR_NONE && !empty($decoded)) {
    // レポートを配列にまとめる
    $entry = [
      'time' => microtime(true),  // レポート受信時間（高精度）
      'raw' => $decoded,          // 元のJSONをそのまま保存
    ];
    // report-uri形式の場合：{ "csp-report": { ... } } という構造
    if (isset($decoded['csp-report'])) {
      $entry['type'] = 'report-uri';        // タイプを記録
      $entry['report'] = $decoded['csp-report'];  // 実際のレポート内容
    }
    // report-to形式の場合：[{ type: "csp-violation", body: {...}, ... }] という構造
    elseif (isset($decoded[0]['type']) && $decoded[0]['type'] === 'csp-violation') {
      $entry['type'] = 'report-to';  // タイプを記録
      $entry['report'] = $decoded;   // 実際のレポート内容（配列全体を保存）
    }
    // JSON Lines形式（1行1レポート）でファイルに追記する
    file_put_contents($reportFile, json_encode($entry) . PHP_EOL, FILE_APPEND | LOCK_EX);
  }
}
// JSONレスポンスを返却して完了を通知
header("Content-Type: application/json");
echo json_encode(["status" => "ok"]);

if (isset($decoded['csp-report'])) {
  // report-uri形式のレポート
  $entry['type'] = 'report-uri';           // タイプを「report-uri」と記録
  $entry['report'] = $decoded['csp-report'];  // 実際の内容は1つの連想配列
} elseif (isset($decoded[0]['type']) && $decoded[0]['type'] === 'csp-violation') {
  // report-to形式のレポート
  $entry['type'] = 'report-to';            // タイプを「report-to」と記録
  $entry['report'] = $decoded;             // 実際の内容は配列全体
}

add_action('send_headers', function () {
  $report_url = home_url('/wp-content/themes/twentytwentyfive/csp-report.php');

  // Report-To ヘッダーを送信（グループ名: csp-endpoint）
  header('Report-To: ' . json_encode([
      'group' => 'csp-endpoint', // report-to ディレクティブで参照するグループ名
      'max_age' => 10886400, // エンドポイント情報の有効期間（秒）
      'endpoints' => [['url' => $report_url]], // レポート送信先
  ]));

  // Content-Security-Policy-Report-Only ヘッダーを送信
  // script-src などは必要に応じて変更し、report-uri / report-to の両方を指定
  header("Content-Security-Policy-Report-Only: default-src 'self'; "
    . "script-src 'self'; "
    . "style-src 'self'; "
    . "img-src 'self'; "
    . "font-src 'self'; "
    . "worker-src 'self'; "
    . "frame-src 'self'; "
    . "object-src 'none'; "
    . "base-uri 'self'; "
    . "form-action 'self'; "
    . "frame-ancestors 'self'; "
    . "report-uri {$report_url}; "
    . "report-to csp-endpoint;"
  );
});

<?php
// レポートファイルのパスを指定
$reportFile = __DIR__ . '/csp-reports/reports.json';

// 認証：.htaccess などで SetEnv VIEWER_PASSWORD 'xxxx' と設定している場合に
// その値と一致するパスワード（xxxx）が入力されていないと401エラーを返す
$password = getenv('VIEWER_PASSWORD');
if ($password && (!isset($_SERVER['PHP_AUTH_PW']) || $_SERVER['PHP_AUTH_PW'] !== $password)) {
  header('WWW-Authenticate: Basic realm="CSP Viewer"');
  header('HTTP/1.0 401 Unauthorized');
  die('Unauthorized');
}

// レポートファイルがなければ終了
if (!file_exists($reportFile)) {
  die('<!DOCTYPE html><html lang="en"><head><meta charset="utf-8"><title>No Reports</title></head><body><p>No reports found.</p></body></html>');
}

// 1行1レポートとして全行を配列で読み込み
$lines = file($reportFile, FILE_IGNORE_NEW_LINES | FILE_SKIP_EMPTY_LINES);
// 新しいレポートが最後に追記される形式なので逆順にして新しいものから表示
$lines = array_reverse($lines);

// フィルタ用パラメータ（GETパラメータからフィルタ用の文字列を取得）
$searchDocumentUri = isset($_GET['search_document_uri']) ? trim($_GET['search_document_uri']) : '';
$searchViolatedDirective = isset($_GET['search_violated_directive']) ? trim($_GET['search_violated_directive']) : '';

// ページネーション設定
$perPage = 100; // 1ページの表示件数
$totalReports = count($lines);
$page = isset($_GET['page']) ? max(1, (int)$_GET['page']) : 1;
$offset = ($page - 1) * $perPage;
$lines = array_slice($lines, $offset, $perPage);  // 該当ページ分のレポートだけに絞る

// 最新のレポートから形式（report-uri/report-to）を判定
$currentType = 'Unknown';
if (!empty($lines)) {
  $latest = json_decode($lines[0], true);
  if ($latest && isset($latest['type'])) {
    $currentType = $latest['type'];
  }
}

// HTML出力開始
?>
<!DOCTYPE html>
<html lang="en">

<head>
  <meta charset="utf-8">
  <meta name="viewport" content="width=device-width, initial-scale=1">
  <title>CSP Reports Viewer</title>
  <style>
    body {
      font-family: sans-serif;
      margin: 2rem;
    }

    table {
      width: 100%;
      border-collapse: collapse;
    }

    th,
    td {
      padding: 0.5rem;
      border: 1px solid #ccc;
      vertical-align: top;
    }

    td {
      overflow-wrap: break-word;
      word-break: break-all;
    }

    th {
      background-color: #eee;
    }

    form input[type="text"] {
      width: 300px;
    }
  </style>
</head>

<body>
  <h1>CSP Reports</h1>
  <!-- 現在のレポート形式を表示 -->
  <p>Current report type: <strong style="color:blue;"><?= htmlspecialchars($currentType) ?></strong></p>

  <!-- 検索フォームを出力 -->
  <form method="get" style="margin-bottom:1em; display:flex; gap:1em; flex-wrap:wrap;">
    <label>Filter by Document URI: <input type="text" name="search_document_uri" value="<?= htmlspecialchars($searchDocumentUri) ?>"></label>
    <label>Filter by Violated Directive: <input type="text" name="search_violated_directive" value="<?= htmlspecialchars($searchViolatedDirective) ?>"></label>
    <div>
      <button type="submit">Filter</button>
      <a href="<?= htmlspecialchars($_SERVER['PHP_SELF']) ?>" style="margin-left:10px; border: 1px solid #999; padding: 3px 10px; text-decoration: none;">Clear</a>
    </div>
  </form>

  <!-- レポート表示テーブル-->
  <table>
    <tr>
      <th>Time</th>
      <th>Document URI</th>
      <th>Violated Directive</th>
      <th>Blocked URI</th>
      <th>Referrer</th>
      <th>Status</th>
      <th>Script Sample</th>
      <th>Line Number</th>
    </tr>

    <?php
    // レポート出力（レポートを1行ずつ表示）
    foreach ($lines as $line) {
      $entry = json_decode($line, true);
      if (!$entry || empty($entry['report'])) continue;

      // 時刻をフォーマット（レポートに記録された microtime を「日本時間の見やすい形式」で表示）
      // $entry['time'] は microtime(true) で保存されたUnixタイムスタンプ（"1751349465.064782" のように秒＋マイクロ秒の形式）
      // createFromFormat('U.u', ...) で「Unixエポック秒.マイクロ秒」形式を DateTime オブジェクトに変換
      $dt = DateTime::createFromFormat('U.u', sprintf('%.6F', $entry['time']));
      if ($dt) {
        // タイムゾーンを日本時間（Asia/Tokyo）に設定して、日本時間で表示できるように
        $dt->setTimezone(new DateTimeZone('Asia/Tokyo'));
        // 「YYYY-MM-DD HH:MM:SS.ミリ秒」形式の文字列にフォーマットして、表示用に
        $time = $dt->format('Y-m-d H:i:s.v');
      } else {
        // 変換に失敗した場合は '-' を表示。
        $time = '-';
      }

      // report-uri 形式
      if ($entry['type'] === 'report-uri') {
        outputRow($entry['report'], $time, 'report-uri', $searchDocumentUri, $searchViolatedDirective);
      }
      // report-to形式（複数レポートに対応）
      elseif ($entry['type'] === 'report-to' && is_array($entry['report'])) {
        foreach ($entry['report'] as $rep) {
          if (!isset($rep['body'])) continue;
          outputRow($rep['body'], $time, 'report-to', $searchDocumentUri, $searchViolatedDirective);
        }
      }
    }
    ?>
  </table>

  <?php
  // ページネーションリンクを表示
  $totalPages = max(1, ceil($totalReports / $perPage));
  echo '<div style="margin-top:1em;">';
  for ($i = 1; $i <= $totalPages; $i++) {
    if ($i == $page) {
      echo "<strong>$i</strong> ";
    } else {
      $url = htmlspecialchars($_SERVER['PHP_SELF']) . '?page=' . $i;
      echo "<a href=\"$url\">$i</a> ";
    }
  }
  echo '</div>';
  ?>

</body>

</html>

<?php
/**
 * レポート1件をテーブルの行として出力する共通関数
 *
 * - report-uri形式の場合：
 *   レポート本体は {"csp-report": {...}} の構造なので、
 *   document-uri や violated-directive などのキーが直接入っている。
 *
 * - report-to形式の場合：
 *   レポート本体は [{ type: "csp-violation", body: {...}, ... }] の配列構造で、
 *   各レポートの body 内に documentURL や effectiveDirective などのキーが含まれる。
 *
 * そのため、形式によって参照するキー名が異なるので、例えば、
 * report-uriは document-uri / violated-directive、
 * report-toは documentURL / effectiveDirective を使っている。
 */
function outputRow($report, $time, $type, $searchDocumentUri, $searchViolatedDirective) {
  $documentUri = $type === 'report-uri' ? $report['document-uri'] ?? '' : $report['documentURL'] ?? '';
  $violatedDirective = $type === 'report-uri' ? $report['violated-directive'] ?? '' : $report['effectiveDirective'] ?? '';
  $blockedUri = htmlspecialchars($type === 'report-uri' ? $report['blocked-uri'] ?? '-' : $report['blockedURL'] ?? '-');
  $referrer = htmlspecialchars($report['referrer'] ?? '-');
  $statusCode = htmlspecialchars($type === 'report-uri' ? $report['status-code'] ?? '-' : $report['statusCode'] ?? '-');
  $scriptSample = htmlspecialchars($type === 'report-uri' ? $report['script-sample'] ?? '-' : $report['sample'] ?? '-');
  $lineNumber = htmlspecialchars($type === 'report-uri' ? $report['line-number'] ?? '-' : $report['lineNumber'] ?? '-');

  // 検索条件に合わない場合はスキップ
  if ($searchDocumentUri !== '' && stripos($documentUri, $searchDocumentUri) === false) return;
  if ($searchViolatedDirective !== '' && stripos($violatedDirective, $searchViolatedDirective) === false) return;

  // テーブル行を出力
  echo '<tr>';
  echo "<td>{$time}</td>";
  echo "<td>" . htmlspecialchars($documentUri) . "</td>";
  echo "<td>" . htmlspecialchars($violatedDirective) . "</td>";
  echo "<td>{$blockedUri}</td>";
  echo "<td>{$referrer}</td>";
  echo "<td>{$statusCode}</td>";
  echo "<td style='max-width:300px; overflow-wrap:anywhere; font-family:monospace;'>{$scriptSample}</td>";
  echo "<td>{$lineNumber}</td>";
  echo '</tr>';
}

SetEnv VIEWER_PASSWORD 'xxxxx'