?
This document uses PHP Chinese website manual Release
HTTP Content-Security-Policy（CSP）指令限制可以使用腳本接口加載的URL。受限制的API是：connect-src
<a>ping,
Fetch,
XMLHttpRequest,
WebSocket，和
EventSource.
CSP版本 | 1 |
|---|---|
指令類型 | 取指令 |
默認-src后備 | 是。如果此指令不存在，用戶代理將查找default-src指令。 |
句法
可以為 connect-src 策略允許一個或多個源：
Content-Security-Policy: connect-src <source>;Content-Security-Policy: connect-src <source> <source>;
來源
<source>可以是以下之一：
通過名稱或IP地址的<host-source> Internet主機，以及可選的 URL方案and/or 端口號。該站點的地址可能包含一個可選的前導通配符（星號字符'*'），并且可以使用通配符（再次'*'）作為端口號，表示所有合法端口對于源都有效。
示例：
http://*.example.com：匹配使用http:URL方案從 example.com 的任何子域加載的所有嘗試。
mail.example.com:443：匹配所有嘗試訪問 mail.example.com 上的端口443的嘗試。
https://store.example.com：匹配所有嘗試訪問 store.example.com 使用https:。
<scheme-source>一種模式，如'http:' 或 'https:'。冒號是必需的，不應使用單引號。您也可以指定數(shù)據(jù)模式（不推薦）。
data:允許將data:URI用作內(nèi)容源。這是不安全的；攻擊者也可以注入任意數(shù)據(jù)：URI。謹慎使用這一點，絕對不適用于腳本。
mediastream:允許將mediastream:URI 用作內(nèi)容源。
blob:允許將blob:URI 用作內(nèi)容源。
filesystem:允許將filesystem:URI 用作內(nèi)容源。
'self'指受保護文檔的來源，包括相同的URL方案和端口號。你必須包括單引號。一些瀏覽器特別排除blob和filesystem從源指令。需要允許這些內(nèi)容類型的網(wǎng)站可以使用Data屬性來指定它們。
'unsafe-inline'允許使用內(nèi)聯(lián)資源，如內(nèi)聯(lián)<script>元素，javascript:URL，內(nèi)聯(lián)事件處理程序和內(nèi)聯(lián)<style>元素。你必須包括單引號。
'unsafe-eval'允許使用eval()和類似的方法從字符串創(chuàng)建代碼。你必須包括單引號。
'none'指空集；也就是說，沒有URL匹配。單引號是必需的。
'nonce- <base64-value>'使用加密隨機數(shù)（使用一次的數(shù)字）的特定內(nèi)聯(lián)腳本的白名單。每次發(fā)送策略時，服務器都必須生成唯一的隨機數(shù)值。提供一個無法猜測的隨機數(shù)是非常重要的，因為繞過資源的策略是微不足道的。例如，查看不安全的內(nèi)聯(lián)腳本。
<hash-source>內(nèi)聯(lián)腳本或樣式的sha256，sha384或sha512。生成散列時，不要包含<script>或<style>標記，并注意大小寫和空白字符，包括前導或尾隨空格。請參閱不安全的內(nèi)聯(lián)腳本。
“strict-dynamic”strict-dynamic源表達式指定顯式給予標記中存在的腳本的信任，通過附加一個隨機數(shù)或散列值，應該傳播給由該腳本加載的所有腳本。與此同時，任何白名單或源表達式（例如'self'或'unsafe-inline'將被忽略）。有關(guān)示例，請參閱script-src。
示例
違規(guī)示例
鑒于此CSP標題：
Content-Security-Policy: connect-src https://example.com/
以下連接被阻止并且不會加載：
<a ping="https://not-example.com"><script> var xhr = new XMLHttpRequest();
xhr.open('GET', 'https://not-example.com/');
xhr.send(); var ws = new WebSocket("https://not-example.com/"); var es = new EventSource("https://not-example.com/");
navigator.sendBeacon("https://not-example.com/", { ... });</script>規(guī)范
規(guī)范 | 狀態(tài) | 評論 |
|---|---|---|
內(nèi)容安全策略級別3該規(guī)范中'connect-src'的定義。 | 編輯草稿 | 沒有變化。 |
內(nèi)容安全策略級別2該規(guī)范中'connect-src'的定義。 | 建議 | 初始定義。 |
瀏覽器兼容性
特征 | Chrome | Firefox | Edge | Internet Explorer | Opera | Safari |
|---|---|---|---|---|---|---|
基本支持 | 25 | 23.01 | 14 | (No) | 15 | 7 |
特征 | Android | Chrome for Android | Edge mobile | Firefox for Android | IE mobile | Opera Android | iOS Safari |
|---|---|---|---|---|---|---|---|
基本支持 | 4.4 | (Yes) | ? | 23.0 | (No) | ? | 7.1 |
在Firefox 50之前，<a>元素的ping屬性未被connect-src.Compatibility注釋覆蓋
2. 在Firefox 23之前，xhr-src被用來代替connect-src指
令，并且僅限于使用XMLHttpRequest。