Redirectした際にもcontent-security-policyを渡す方法

[yuucu]

初めまして。

現在作成しているアプリが、フロント(React)とバックエンド(golang)があり、
バックエンド側で認証した後、フロントへRedirectするような作りになっています。

下記の対応に沿って、全てのAPIにcspをつけようと思っているのですが、
https://shopify.dev/apps/store/security/iframe-protection

Redirectでフロントの最初のページへ遷移しているため、最初のページのみcspを渡すことができません。

アプリのトップページへリダイレクトで遷移する場合にCSPを付与しながら渡す方法はありますでしょうか？

また、cspの問題に対応するためには、認証をフロントを経由した形で作成し直す必要がありますでしょうか?

[株式会社フルバランス]

Yuucu　様

はじめまして。

株式会社フルバランスのドウケと申します。

バックエンドはNode.js(koa.js)を使っておりますが、ご参考になれば幸いです。

バックエンド側のHTTPリクエストに以下の記述をすることで、全ページContent-Security-Policyを読み込むようにしています。

const router = new Router();

router.get("(.*)", async (ctx) => {
    const shop = ctx.query.shop;

    // Content-Security-Policy
    if (shop) {
      ctx.set(
        "Content-Security-Policy",
        `frame-ancestors https://${shop} https://admin.shopify.com`
      );
    }
}

 どうぞよろしくお願いいたします。