?
本文檔使用 php中文網(wǎng)手冊(cè) 發(fā)布
HTTP Content-Security-Policy（CSP）style-src指令為樣式表的源指定有效來(lái)源。
CSP版本 | 1 |
|---|---|
指令類型 | 取指令 |
默認(rèn)-src后備 | 是。如果此指令不存在，用戶代理將查找default-src指令。 |
句法
style-src政策可以允許一個(gè)或多個(gè)來(lái)源：
Content-Security-Policy: style-src <source>;Content-Security-Policy: style-src <source> <source>;
來(lái)源
<source>可以是以下之一：
通過(guò)名稱或IP地址的<host-source> Internet主機(jī)，以及可選的 URL方案 and/or 端口號(hào)。該站點(diǎn)的地址可能包含一個(gè)可選的前導(dǎo)通配符（星號(hào)字符'*'），并且可以使用通配符（再次'*'）作為端口號(hào)，表示所有合法端口對(duì)于源都有效。
例子：
http://*.example.com：匹配使用http:URL方案從 example.com 的任何子域加載的所有嘗試。
mail.example.com:443：匹配所有嘗試訪問(wèn) mail.example.com 上的端口443的嘗試。
https://store.example.com：匹配所有嘗試訪問(wèn) store.example.com 使用https:。
<scheme-source>一種模式，如'http:' 或 'https:'。冒號(hào)是必需的，不應(yīng)使用單引號(hào)。您也可以指定數(shù)據(jù)模式（不推薦）。
data:允許將data:URI 用作內(nèi)容源。這是不安全的; 攻擊者也可以注入任意數(shù)據(jù)：URI。謹(jǐn)慎使用這一點(diǎn)，絕對(duì)不適用于腳本。
mediastream:允許將mediastream:URI 用作內(nèi)容源。
blob:允許將blob:URI 用作內(nèi)容源。
filesystem:允許將filesystem:URI 用作內(nèi)容源。
'self'指受保護(hù)文檔的來(lái)源，包括相同的URL方案和端口號(hào)。你必須包括單引號(hào)。一些瀏覽器特別排除blob和filesystem從源指令。需要允許這些內(nèi)容類型的網(wǎng)站可以使用Data屬性來(lái)指定它們。
'unsafe-inline'允許使用內(nèi)聯(lián)資源，如內(nèi)聯(lián)<script>元素，javascript:URL，內(nèi)聯(lián)事件處理程序和內(nèi)聯(lián)<style>元素。你必須包括單引號(hào)。
'unsafe-eval'允許使用eval()和類似的方法從字符串創(chuàng)建代碼。你必須包括單引號(hào)。
'none'指空集；也就是說(shuō)，沒(méi)有URL匹配。單引號(hào)是必需的。
'nonce- <base64-value>'使用加密隨機(jī)數(shù)（使用一次的數(shù)字）的特定內(nèi)聯(lián)腳本的白名單。每次發(fā)送策略時(shí)，服務(wù)器都必須生成唯一的隨機(jī)數(shù)值。提供一個(gè)無(wú)法猜測(cè)的隨機(jī)數(shù)是非常重要的，因?yàn)槔@過(guò)資源的策略是微不足道的。例如，查看不安全的內(nèi)聯(lián)腳本。
<hash-source>腳本或樣式的sha256，sha384或sha512散列。此源的使用由兩部分組成：用短劃線分隔的部分：用于創(chuàng)建散列的加密算法以及腳本或樣式的base64編碼散列。生成散列時(shí)，不要包含<script>或<style>標(biāo)記，并注意大小寫和空白字符，包括前導(dǎo)或尾隨空格。有關(guān)示例，請(qǐng)參閱不安全的內(nèi)聯(lián)腳本。在CSP 2.0中，這僅適用于內(nèi)聯(lián)腳本。CSP 3.0允許它的情況下script-src用于外部腳本。
'strict-dynamic' strict-dynamic源表達(dá)式指定顯式給予標(biāo)記中存在的腳本的信任，通過(guò)附加一個(gè)隨機(jī)數(shù)或散列，應(yīng)該傳播給由該腳本加載的所有腳本。與此同時(shí)，任何白名單或源表達(dá)式（例如'self'或'unsafe-inline'將被忽略）。有關(guān)示例，請(qǐng)參閱script-src。
示例
違規(guī)示例
鑒于此CSP標(biāo)題：
Content-Security-Policy: style-src https://example.com/
以下樣式表被阻止并且不會(huì)加載：
<link href="https://not-example.com/styles/main.css" rel="stylesheet" type="text/css" /><style>#inline-style { background: red; }</style><style>
@import url("https://not-example.com/styles/print.css") print;</style>以及使用Link標(biāo)題加載的樣式：
Link: <https://not-example.com/styles/stylesheet.css>;rel=stylesheet
不安全的內(nèi)聯(lián)樣式
注意：禁止內(nèi)聯(lián)樣式和內(nèi)聯(lián)腳本是CSP提供的最大安全勝利之一。但是，如果你絕對(duì)必須使用它，有幾個(gè)機(jī)制可以允許它們。
要允許內(nèi)聯(lián)樣式，'unsafe-inline'可以指定與內(nèi)聯(lián)塊匹配的nonce-source或hash-source。
Content-Security-Policy: style-src 'unsafe-inline';
上述內(nèi)容安全策略將允許內(nèi)聯(lián)樣式，如<style>元素和style任何元素上的屬性：
<style>#inline-style { background: red; }</style><div style="display:none">Foo</div>您可以使用nonce-source來(lái)僅允許特定的內(nèi)聯(lián)樣式塊：
Content-Security-Policy: style-src 'nonce-2726c7f26c'
您將不得不在<style>元素上設(shè)置相同的隨機(jī)數(shù)：
<style nonce="2726c7f26c">#inline-style { background: red; }</style>或者，您可以從內(nèi)聯(lián)樣式創(chuàng)建散列。CSP支持sha256，sha384和sha512。
Content-Security-Policy: style-src 'sha256-a330698cbe9dc4ef1fb12e2ee9fc06d5d14300262fa4dc5878103ab7347e158f'
生成散列時(shí)，不要包含<style>標(biāo)記，并注意大小寫和空白字符，包括前導(dǎo)或尾隨空白。
<style>#inline-style { background: red; }</style>不安全的樣式表達(dá)式
'unsafe-eval'源表達(dá)控制了創(chuàng)建字符串的樣式聲明幾個(gè)樣式的方法。如果'unsafe-eval'未用style-src指令指定，則以下方法被阻止并不會(huì)產(chǎn)生任何影響：
CSSStyleSheet.insertRule()
CSSGroupingRule.insertRule()
CSSStyleDeclaration.cssText
規(guī)范
規(guī)范 | 狀態(tài) | 評(píng)論 |
|---|---|---|
內(nèi)容安全策略級(jí)別3該規(guī)范中'style-src'的定義。 | 編輯草稿 | 沒(méi)有變化。 |
內(nèi)容安全策略級(jí)別2該規(guī)范中'style-src'的定義。 | 建議 | 初始定義。 |
瀏覽器兼容性
特征 | Chrome | Edge | Firefox | Internet Explorer | Opera | Safari |
|---|---|---|---|---|---|---|
基本特征 | 25 | 14 | 23.0 | No | 15 | 7 |
特征 | Android | Chrome for Android | Edge mobile | Firefox for Android | IE mobile | Opera Android | iOS Safari |
|---|---|---|---|---|---|---|---|
基本特征 | 4.4 | (Yes) | ? | 23.0 | No | ? | 7.1 |