?
This document uses PHP Chinese website manual Release
HTTP Content-Security-Policy（CSP）指令指定的有效來源，或腳本。worker-srcWorkerSharedWorkerServiceWorker
CSP版本 | 3 |
|---|---|
指令類型 | 取指令 |
倒退 | 如果此指令不存在，用戶代理將查找child-src指令（該指令回退到default-src指令）。 |
句法
worker-src政策可以允許一個(gè)或多個(gè)來源：
Content-Security-Policy: worker-src <source>;Content-Security-Policy: worker-src <source> <source>;
來源
<source>可以是以下之一：
通過名稱或IP地址的<host-source> Internet主機(jī)，以及可選的 URL方案 and/or 端口號。該站點(diǎn)的地址可能包含一個(gè)可選的前導(dǎo)通配符（星號字符'*'），并且可以使用通配符（再次'*'）作為端口號，表示所有合法端口對于源都有效。
示例：
http://*.example.com：匹配使用http:URL方案從 example.com 的任何子域加載的所有嘗試。
mail.example.com:443：匹配所有嘗試訪問 mail.example.com 上的端口443的嘗試。
https://store.example.com：匹配所有嘗試訪問store.example.com 使用https:。
<scheme-source>一種模式，如'http:'或'https:'。冒號是必需的，不應(yīng)使用單引號。您也可以指定數(shù)據(jù)模式（不推薦）。
data:允許將data:URI用作內(nèi)容源。這是不安全的; 攻擊者也可以注入任意數(shù)據(jù)：URI。謹(jǐn)慎使用這一點(diǎn)，絕對不適用于腳本。
mediastream:允許將mediastream:URI 用作內(nèi)容源。
blob:允許將blob:URI 用作內(nèi)容源。
filesystem:允許將filesystem:URI 用作內(nèi)容源。
'self'指受保護(hù)文檔的來源，包括相同的URL方案和端口號。你必須包括單引號。一些瀏覽器特別排除blob和filesystem從源指令。需要允許這些內(nèi)容類型的網(wǎng)站可以使用Data屬性來指定它們。
'unsafe-inline'允許使用內(nèi)聯(lián)資源，如內(nèi)聯(lián)<script>元素，javascript:URL，內(nèi)聯(lián)事件處理程序和內(nèi)聯(lián)<style>元素。你必須包括單引號。
'unsafe-eval'允許使用eval()和類似的方法從字符串創(chuàng)建代碼。你必須包括單引號。
'none'指空集；也就是說，沒有URL匹配。單引號是必需的。
'nonce- <base64-value>'使用加密隨機(jī)數(shù)（使用一次的數(shù)字）的特定內(nèi)聯(lián)腳本的白名單。每次發(fā)送策略時(shí)，服務(wù)器都必須生成唯一的隨機(jī)數(shù)值。提供一個(gè)無法猜測的隨機(jī)數(shù)是非常重要的，因?yàn)槔@過資源的策略是微不足道的。例如，查看不安全的內(nèi)聯(lián)腳本。
<hash-source>內(nèi)聯(lián)腳本或樣式的sha256，sha384或sha512。生成散列時(shí)，不要包含<script>或<style>標(biāo)記，并注意大小寫和空白字符，包括前導(dǎo)或尾隨空格。請參閱不安全的內(nèi)聯(lián)腳本。
“strict-dynamic”strict-dynamic源表達(dá)式指定顯式給予標(biāo)記中存在的腳本的信任，通過附加一個(gè)隨機(jī)數(shù)或散列值，應(yīng)該傳播給由該腳本加載的所有腳本。與此同時(shí)，任何白名單或源表達(dá)式（例如'self'或'unsafe-inline'將被忽略）。有關(guān)示例，請參閱script-src。
示例
違規(guī)示例
鑒于此CSP標(biāo)題：
Content-Security-Policy: worker-src https://example.com/
Worker，SharedWorker，ServiceWorker被封鎖，將不加載：
<script>
var blockedWorker = new Worker("data:application/javascript,...");
blockedWorker = new SharedWorker("https://not-example.com/");
navigator.serviceWorker.register('https://not-example.com/sw.js'); </script>規(guī)范
規(guī)范 | 狀態(tài) | 評論 |
|---|---|---|
內(nèi)容安全策略級別3該規(guī)范中'worker-src'的定義。 | 編輯草稿 | 初始定義。 |
瀏覽器兼容性
特征 | Chrome | Firefox | Edge | Internet Explorer | Opera | Safari |
|---|---|---|---|---|---|---|
基本支持 | 56 | (No)1 | (No) | (No) | (No) | (No) |
特征 | Android | Chrome for Android | Edge mobile | Firefox for Android | IE mobile | Opera Android | iOS Safari |
|---|---|---|---|---|---|---|---|
基本支持 | ? | ? | (No) | (No) | (No) | (No) | (No) |