CSP: child-src
Baseline Widely available
This feature is well established and works across many devices and browser versions. It’s been available across browsers since August 2016.
HTTP の Content-Security-Policy (CSP) における child-src ディレクティブは、ウェブワーカーと <frame> や <iframe> などの要素を使用して読み込んだ、埋め込まれた閲覧コンテキストに対して有効なソースを定義しています。ワーカーでは、準拠しないリクエストは、ユーザーエージェントによって致命的なネットワークエラーとして扱われます。
| CSP バージョン | 2 |
|---|---|
| ディレクティブ種別 | フェッチディレクティブ |
default-src の代替 |
あり。このディレクティブがない場合、ユーザーエージェントは default-src ディレクティブを探していきます。
|
構文
http
Content-Security-Policy: child-src 'none';
Content-Security-Policy: child-src <source-expression-list>;
このディレクティブは、次のいずれかの値を指定することができます。
'none'-
この種類のリソースは読み込まれません。単一引用符は必須です。
<source-expression-list>-
ソース表現の値を空白で区切ったリストです。この種類のリソースは、指定されたソース表現のいずれかと一致した場合に読み込まれます。このディレクティブでは、以下のソース表現の値が適用できます。
例
違反している場合
この CSP ヘッダーがあったとします。
http
Content-Security-Policy: child-src https://example.com/
この <iframe> とワーカーはブロックされ、読み込まれません。
html
<iframe src="https://not-example.com"></iframe>
<script>
const blockedWorker = new Worker("data:application/javascript,…");
</script>
仕様書
| Specification |
|---|
| Content Security Policy Level 3 # directive-child-src |