CSP: script-src-attr

Das HTTP Content-Security-Policy (CSP) script-src-attr-Direktive gibt gültige Quellen für JavaScript-Inline-Event-Handler an.

Diese Direktive legt nur gültige Quellen für Inline-Skript-Event-Handler wie onclick fest. Sie gilt nicht für andere JavaScript-Quellen, die die Skriptausführung auslösen können, wie URLs, die direkt in <script>-Elemente und XSLT-Stylesheets geladen werden. (Gültige Quellen können für alle JavaScript-Skriptquellen mit script-src angegeben werden, oder nur für <script>-Elemente mit script-src-elem.)

CSP-Version 3
Direktivtyp Fetch-Direktive
default-src Fallback Ja. Wenn diese Direktive fehlt, sucht der User-Agent nach der script-src-Direktive, und wenn beide fehlen, wird auf die default-src-Direktive zurückgegriffen.

Syntax

http
Content-Security-Policy: script-src-attr 'none';
Content-Security-Policy: script-src-attr <source-expression-list>;

Diese Direktive kann einen der folgenden Werte haben:

'none'

Keine Ressourcen dieses Typs dürfen geladen werden. Die einfachen Anführungszeichen sind obligatorisch.

<source-expression-list>

Eine durch Leerzeichen getrennte Liste von Quellen-Ausdrucks-Werten. Ressourcen dieses Typs dürfen geladen werden, wenn sie mit einem der angegebenen Quellen-Ausdrücke übereinstimmen. Für diese Direktive sind die folgenden Quellen-Ausdruckswerte anwendbar:

script-src-attr kann zusammen mit script-src verwendet werden und wird diese Direktive bei Überprüfungen von Inline-Handlern überschreiben:

http
Content-Security-Policy: script-src <source>;
Content-Security-Policy: script-src-attr <source>;

Beispiele

Verletzungsfall

Angenommen dieses CSP-Header:

http
Content-Security-Policy: script-src-attr 'none'

…wird der folgende Inline-Event-Handler blockiert und nicht geladen oder ausgeführt:

html
<button id="btn" onclick="doSomething()"></button>

Beachten Sie, dass Sie im Allgemeinen Inline-Event-Handler durch Aufrufe von addEventListener ersetzen sollten:

js
document.getElementById("btn").addEventListener("click", doSomething);

Spezifikationen

Specification
Content Security Policy Level 3
# directive-script-src-attr

Browser-Kompatibilität

BCD tables only load in the browser

Siehe auch