CSP: trusted-types

Limited availability

This feature is not Baseline because it does not work in some of the most widely-used browsers.

Experimentell: Dies ist eine experimentelle Technologie
Überprüfen Sie die Browser-Kompatibilitätstabelle sorgfältig vor der Verwendung auf produktiven Webseiten.

Die HTTP Content-Security-Policy (CSP) trusted-types Experimentell Direktive weist Benutzeragenten an, die Erstellung von Trusted Types-Policies einzuschränken - Funktionen, die nicht fälschbare, typisierte Werte erstellen, die anstelle von Zeichenfolgen an DOM XSS-Senken übergeben werden sollen.

Zusammen mit der require-trusted-types-for Direktive ermöglicht dies den Autoren, Regeln zu definieren, die das Schreiben von Werten in das DOM schützen und so die Angriffsfläche für DOM XSS auf kleine, isolierte Teile des Webanwendungscodes reduzieren. Dies erleichtert deren Überwachung und Codeüberprüfung. Diese Direktive deklariert eine Positivliste von Trusted Type-Policynamen, die mit trustedTypes.createPolicy aus der Trusted Types API erstellt wurden.

Syntax

http
Content-Security-Policy: trusted-types;
Content-Security-Policy: trusted-types 'none';
Content-Security-Policy: trusted-types <policyName>;
Content-Security-Policy: trusted-types <policyName> <policyName> 'allow-duplicates';
<policyName>

Ein gültiger Policyname besteht nur aus alphanumerischen Zeichen oder einem der folgenden Zeichen: -#=_/@.%. Ein Stern (*) als Policyname weist den Benutzeragenten an, jeden eindeutigen Policyname zuzulassen (allow-duplicates kann dies weiter lockern).

'none'

Verbietet die Erstellung jeglicher Trusted Type-Policy (gleichbedeutend mit dem Weglassen eines <policyName>).

'allow-duplicates'

Erlaubt die Erstellung von Policies mit einem bereits verwendeten Namen.

Beispiele

js
// Content-Security-Policy: trusted-types foo bar 'allow-duplicates';

if (typeof trustedTypes !== "undefined") {
  const policyFoo = trustedTypes.createPolicy("foo", {});
  const policyFoo2 = trustedTypes.createPolicy("foo", {});
  const policyBaz = trustedTypes.createPolicy("baz", {}); // Throws and dispatches a SecurityPolicyViolationEvent.
}

Spezifikationen

Specification
Trusted Types
# trusted-types-csp-directive

Browser-Kompatibilität

Report problems with this compatibility data on GitHub
desktopmobile
Chrome
Edge
Firefox
Opera
Safari
Chrome Android
Firefox for Android
Opera Android
Safari on iOS
Samsung Internet
WebView Android
WebView on iOS
trusted-types
Experimental

Legend

Tip: you can click/tap on a cell for more information.

Full support
Full support
No support
No support
Experimental. Expect behavior to change in the future.
See implementation notes.

Siehe auch