CSP: style-src-elem

Die HTTP-Content-Security-Policy (CSP)-Direktive style-src-elem gibt gültige Quellen für Stylesheet-<style>-Elemente und <link>-Elemente mit rel="stylesheet" an.

Die Direktive legt keine gültigen Quellen für Inline-Style-Attribute fest; diese werden mit style-src-attr festgelegt (und gültige Quellen für alle Styles können mit style-src festgelegt werden).

CSP-Version 3
Direktivtyp Fetch-Direktive
default-src-Fallback

Ja. Wenn diese Direktive fehlt, sucht der User-Agent nach der style-src-Direktive, und wenn beide fehlen, wird auf die default-src-Direktive zurückgegriffen.

Syntax

http
Content-Security-Policy: style-src-elem 'none';
Content-Security-Policy: style-src-elem <source-expression-list>;

Diese Direktive kann einen der folgenden Werte haben:

'none'

Keine Ressourcen dieses Typs dürfen geladen werden. Die einfachen Anführungszeichen sind obligatorisch.

<source-expression-list>

Eine durch Leerzeichen getrennte Liste von source expression-Werten. Ressourcen dieses Typs dürfen geladen werden, wenn sie mit einem der angegebenen Quellenausdrücke übereinstimmen. Für diese Direktive gelten dieselben Quellenausdruckswerte wie für style-src, mit Ausnahme von 'unsafe-hashes'.

style-src-elem kann in Verbindung mit style-src verwendet werden:

http
Content-Security-Policy: style-src <source>;
Content-Security-Policy: style-src-elem <source>;

Beispiele

Verletzungsfälle

Angenommen, dieses CSP-Header:

http
Content-Security-Policy: style-src-elem https://example.com/

…werden die folgenden Stylesheets blockiert und nicht geladen:

html
<link href="https://not-example.com/styles/main.css" rel="stylesheet" />

<style>
  #inline-style {
    background: red;
  }
</style>

<style>
  @import url("https://not-example.com/styles/print.css") print;
</style>

…sowie Styles, die mit dem Link-Header geladen werden:

http
Link: <https://not-example.com/styles/stylesheet.css>;rel=stylesheet

Spezifikationen

Specification
Content Security Policy Level 3
# directive-style-src-elem

Browser-Kompatibilität

Report problems with this compatibility data on GitHub
Chrome
Edge
Firefox
Opera
Safari
Chrome Android
Firefox for Android
Opera Android
Safari on iOS
Samsung Internet
WebView Android
WebView on iOS
style-src-elem

Tip: you can click/tap on a cell for more information.

Full support

Siehe auch