CSP: script-src-elem
HTTP の Content-Security-Policy
(CSP) における script-src-elem
ディレクティブは、 JavaScript の <script>
要素の有効なソースを指定します。
このディレクティブは <script>
要素(スクリプトリクエストとブロックの両方)の中で有効なソースのみを指定します。
インラインスクリプトイベントハンドラー (onclick
) や "unsafe-eval" チェックでゲートされたスクリプト実行メソッド、XSLT スタイルシートなど、スクリプトの実行のきっかけとなるような他の JavaScript ソースには適用されません。
(有効なソースは、script-src を使用してすべての JavaScript スクリプトソースに指定することも、script-src-attr を使用してインラインスクリプトハンドラーにのみ指定することも可能です。)
CSP バージョン | 3 |
---|---|
ディレクティブ種別 | フェッチディレクティブ |
default-src による代替 |
あり。
このディレクティブがない場合、ユーザーエージェントは script-src ディレクティブを探し、両方ともない場合は、 default-src ディレクティブで代替します。
|
構文
script-src-elem
ポリシーには、 1 つまたは複数のソースが許可されています。
Content-Security-Policy: script-src-elem <source>;
Content-Security-Policy: script-src-elem <source> <source>;
script-src-elem
は script-src
との組み合わせで使用することができます。
Content-Security-Policy: script-src <source>;
Content-Security-Policy: script-src-elem <source>;
ソース
<source>
は、 CSP ソース値にあるいずれかの値を取ることができます。
なお、この同じ値のセットはすべてのフェッチディレクティブ(と 他の多くのディレクティブ)で使用できます。
例
違反の場合
この CSP ヘッダーがあったとします。
Content-Security-Policy: script-src-elem https://example.com/
…以下のスクリプトがブロックされ、読み込まれず、実行されません。
<script src="https://not-example.com/js/library.js"></script>
仕様書
Specification |
---|
Content Security Policy Level 3 # directive-script-src-elem |
ブラウザーの互換性
BCD tables only load in the browser