Permissions-Policy header

Experimentell: Dies ist eine experimentelle Technologie
Überprüfen Sie die Browser-Kompatibilitätstabelle sorgfältig vor der Verwendung auf produktiven Webseiten.

Der HTTP Permissions-Policy Antwortheader bietet einen Mechanismus, um die Nutzung von Browserfunktionen in einem Dokument oder innerhalb der im Dokument enthaltenen <iframe>-Elemente zu ermöglichen oder zu verweigern.

Für weitere Informationen siehe den Hauptartikel zur Permissions Policy.

Headertyp	Antwortheader

Syntax

http

Permissions-Policy: <directive>=<allowlist>

<directive>

Die Permissions Policy-Direktive, auf die die allowlist angewendet werden soll. Siehe Direktiven unten für eine Liste der zulässigen Direktivnamen.

<allowlist>

Eine Allowlist ist eine Liste von Ursprüngen, die einen oder mehrere der folgenden in Klammern enthaltenen Werte trennt durch Leerzeichen enthalten:

* (Wildcard): Die Funktion wird in diesem Dokument und in allen verschachtelten Browsing-Kontexten (<iframe>s) unabhängig von ihrem Ursprung erlaubt.
() (leere Allowlist): Die Funktion ist in obersten und verschachtelten Browsing-Kontexten deaktiviert. Das Äquivalent für <iframe> allow-Attribute ist 'none'.
self: Die Funktion wird in diesem Dokument und in allen verschachtelten Browsing-Kontexten (<iframe>s) im gleichen Ursprung erlaubt. Die Funktion ist in Dokumenten mit fremden Ursprüngen in verschachtelten Browsing-Kontexten nicht erlaubt. self kann als Abkürzung für https://your-site.example.com betrachtet werden. Das Äquivalent für <iframe> allow-Attribute ist self.
src: Die Funktion wird in diesem <iframe> erlaubt, solange das darin geladene Dokument aus demselben Ursprung wie die URL in seinem src-Attribut stammt. Dieser Wert wird nur im <iframe> allow-Attribut verwendet und ist der standardmäßige Allowlist-Wert in <iframe>s.
"<origin>": Die Funktion ist für bestimmte Ursprünge erlaubt (zum Beispiel "https://a.example.com"). Ursprünge sollten durch Leerzeichen getrennt sein. Beachten Sie, dass Ursprünge in <iframe>-Allow-Attributen nicht in Anführungszeichen stehen.

Die Werte * und () dürfen nur allein verwendet werden, während self und src in Kombination mit einem oder mehreren Ursprüngen verwendet werden können.

Hinweis: Direktiven haben eine standardmäßige Allowlist, die immer entweder *, self oder none für den Permissions-Policy-HTTP-Header ist und das standardmäßige Verhalten bestimmt, wenn sie nicht ausdrücklich in einer Richtlinie aufgeführt sind. Diese sind auf den jeweiligen Direktiven-Referenzseiten aufgeführt. Für <iframe>-Allow-Attribute ist das Standardverhalten immer src.

Wo unterstützt, können Sie Platzhalter in Permissions Policy-Ursprüngen verwenden. Dies bedeutet, dass Sie anstelle von mehreren verschiedenen Subdomains alle in einem einzigen Ursprung mit einem Platzhalter definieren können.

Anstatt von

http

("https://example.com" "https://a.example.com" "https://b.example.com" "https://c.example.com")

können Sie angeben

http

("https://example.com" "https://*.example.com")

Hinweis: "https://*.example.com" entspricht nicht "https://example.com".

Direktiven

accelerometer Experimentell: Steuert, ob das aktuelle Dokument die Informationen über die Beschleunigung des Geräts über die Accelerometer-Schnittstelle sammeln darf.
ambient-light-sensor Experimentell: Steuert, ob das aktuelle Dokument Informationen über die Lichtmenge in der Umgebung des Geräts über die AmbientLightSensor-Schnittstelle sammeln darf.
aria-notify Experimentell Nicht standardisiert: Steuert, ob das aktuelle Dokument die ariaNotify()-Methode zur Auslösung von Ansagen für Screenreader verwenden kann.
attribution-reporting Veraltet: Steuert, ob das aktuelle Dokument die Nutzung der Attribution Reporting API erlaubt.
autoplay Experimentell: Steuert, ob das aktuelle Dokument Medien, die über die HTMLMediaElement-Schnittstelle angefordert werden, automatisch abspielen darf. Wenn diese Richtlinie deaktiviert ist und es keine Benutzerinteraktionen gab, wird das von HTMLMediaElement.play() zurückgegebene Promise mit einem NotAllowedError DOMException abgelehnt. Das autoplay-Attribut an <audio>- und <video>-Elementen wird ignoriert.
bluetooth Experimentell: Steuert, ob die Nutzung der Web Bluetooth API erlaubt ist. Wenn diese Richtlinie deaktiviert ist, geben die Methoden des Bluetooth-Objekts, das von Navigator.bluetooth zurückgegeben wird, entweder false zurück oder lehnen die zurückgegebenen Promise mit einem SecurityError DOMException ab.
browsing-topics Veraltet Nicht standardisiert: Steuert den Zugriff auf die Topics API. Wo eine Richtlinie die Nutzung der Topics API ausdrücklich verbietet, schlägt jeder Versuch, die Document.browsingTopics()-Methode aufzurufen oder eine Anfrage mit einem Sec-Browsing-Topics-Header zu senden, mit einem NotAllowedError DOMException fehl.
camera Experimentell: Steuert, ob das aktuelle Dokument Videogeräteeingaben verwenden darf. Das von getUserMedia() zurückgegebene Promise wird mit einem NotAllowedError DOMException abgelehnt, wenn die Erlaubnis nicht erteilt wird.
captured-surface-control Experimentell: Steuert, ob das Dokument die Captured Surface Control API verwenden darf. Das von den Hauptmethoden der API zurückgegebene Promise wird mit einem NotAllowedError DOMException abgelehnt, wenn die Erlaubnis nicht erteilt wird.
compute-pressure Experimentell: Steuert den Zugriff auf die Compute Pressure API.
cross-origin-isolated Experimentell: Steuert, ob das aktuelle Dokument als cross-origin isoliert behandelt werden kann.
deferred-fetch Experimentell: Kontrolliert die Zuweisung des fetchLater() Quote des obersten Ursprunges.
deferred-fetch-minimal Experimentell: Kontrolliert die Zuweisung des gemeinsamen Cross-Origin-Subframe fetchLater() Quote.
display-capture Experimentell: Steuert, ob das aktuelle Dokument die Methode getDisplayMedia() zur Aufnahme von Bildschirm-Inhalten verwenden darf. Wenn diese Richtlinie deaktiviert ist, wird das von getDisplayMedia() zurückgegebene Promise mit einem NotAllowedError DOMException abgelehnt, wenn die Erlaubnis zur Erfassung der Bildschirm-Inhalte nicht erteilt wird.
encrypted-media Experimentell: Steuert, ob das aktuelle Dokument die Encrypted Media Extensions API (EME) verwenden darf. Wenn diese Richtlinie deaktiviert ist, wird das von Navigator.requestMediaKeySystemAccess() zurückgegebene Promise mit einem SecurityError DOMException abgelehnt.
fullscreen Experimentell: Steuert, ob das aktuelle Dokument Element.requestFullscreen() verwenden darf. Wenn diese Richtlinie deaktiviert ist, wird das zurückgegebene Promise mit einem TypeError abgelehnt.
gamepad Experimentell: Steuert, ob das aktuelle Dokument die Gamepad API verwenden darf. Wenn diese Richtlinie deaktiviert ist, lösen Aufrufe von Navigator.getGamepads() einen SecurityError DOMException aus, und die Ereignisse gamepadconnected und gamepaddisconnected werden nicht ausgelöst.
geolocation Experimentell: Steuert, ob das aktuelle Dokument die Geolocation-Schnittstelle verwenden darf. Wenn diese Richtlinie deaktiviert ist, führen Aufrufe von getCurrentPosition() und watchPosition() dazu, dass die Rückruffunktionen dieser Methoden mit einem GeolocationPositionError mit dem Code PERMISSION_DENIED aufgerufen werden.
gyroscope Experimentell: Steuert, ob das aktuelle Dokument Informationen über die Ausrichtung des Geräts über die Gyroscope-Schnittstelle sammeln darf.
hid Experimentell: Steuert, ob das aktuelle Dokument die WebHID API verwenden darf, um sich mit ungewöhnlichen oder exotischen Mensch-Computer-Schnittstellengeräten wie alternativen Tastaturen oder Gamepads zu verbinden.
identity-credentials-get Experimentell: Steuert, ob das aktuelle Dokument die Federated Credential Management API (FedCM) verwenden darf.
idle-detection Experimentell: Steuert, ob das aktuelle Dokument die Idle Detection API verwenden darf, um zu erkennen, wann Benutzer mit ihren Geräten interagieren, beispielsweise um in Chat-Anwendungen den Status "verfügbar"/"abwesend" zu melden.
language-detector Experimentell: Steuert den Zugriff auf die Spracherkennungsfunktionalität der Translator and Language Detector APIs.
local-fonts Experimentell: Steuert, ob das aktuelle Dokument Daten über die lokal installierten Schriften des Benutzers über die Methode Window.queryLocalFonts() sammeln darf (siehe auch die Local Font Access API).
magnetometer Experimentell: Steuert, ob das aktuelle Dokument Informationen über die Ausrichtung des Geräts über die Magnetometer-Schnittstelle sammeln darf.
microphone Experimentell: Steuert, ob das aktuelle Dokument Audio-Eingabegeräte verwenden darf. Wenn diese Richtlinie deaktiviert ist, wird das von MediaDevices.getUserMedia() zurückgegebene Promise mit einem NotAllowedError DOMException abgelehnt.
midi Experimentell: Steuert, ob das aktuelle Dokument die Web MIDI API verwenden darf. Wenn diese Richtlinie deaktiviert ist, wird das von Navigator.requestMIDIAccess() zurückgegebene Promise mit einem SecurityError DOMException abgelehnt.
on-device-speech-recognition Experimentell: Steuert den Zugriff auf die Spracherkennung auf dem Gerät Funktionalität der Web Speech API.
otp-credentials Experimentell: Steuert, ob das aktuelle Dokument die WebOTP API verwenden darf, um ein Einmalpasswort (OTP) aus einer speziell formatierten SMS-Nachricht anzufordern, die vom Server der App gesendet wurde, z. B. über navigator.credentials.get({otp: ..., ...}).
payment Experimentell: Steuert, ob das aktuelle Dokument die Payment Request API verwenden darf. Wenn diese Richtlinie aktiviert ist, löst der PaymentRequest() Konstruktor einen SecurityError DOMException aus.
picture-in-picture Experimentell: Steuert, ob das aktuelle Dokument ein Video im Picture-in-Picture-Modus über die entsprechende API abspielen darf.
private-state-token-issuance Experimentell: Steuert die Nutzung von private state token token-request Operationen.
private-state-token-redemption Experimentell: Steuert die Nutzung von private state token token-redemption und send-redemption-record Operationen.
publickey-credentials-create Experimentell: Steuert, ob das aktuelle Dokument die Web Authentication API verwenden darf, um neue asymmetrische Schlüssel-Credentials zu erstellen, z. B. über navigator.credentials.create({publicKey: ..., ...}).
publickey-credentials-get Experimentell: Steuert, ob das aktuelle Dokument die Web Authentication API verwenden darf, um bereits gespeicherte öffentliche Schlüssel-Credentials abzurufen, z. B. über navigator.credentials.get({publicKey: ..., ...}).
screen-wake-lock Experimentell: Steuert, ob das aktuelle Dokument die Screen Wake Lock API verwenden darf, um anzugeben, dass das Gerät den Bildschirm nicht ausschalten oder dimmen soll.
serial Experimentell: Steuert, ob das aktuelle Dokument die Web Serial API verwenden darf, um mit seriellen Geräten zu kommunizieren, entweder direkt über einen seriellen Anschluss oder über USB- oder Bluetooth-Geräte, die einen seriellen Anschluss emulieren.
speaker-selection Experimentell: Steuert, ob das aktuelle Dokument die Audio Output Devices API verwenden darf, um Lautsprecher aufzulisten und auszuwählen.
storage-access Experimentell: Steuert, ob ein in einem Drittanbieter-Kontext geladenes Dokument (d.h. eingebettet in einem <iframe>) die Storage Access API verwenden darf, um Zugriff auf nicht partitionierte Cookies anzufordern.
translator Experimentell: Steuert den Zugriff auf die Übersetzungsfunktionalität der Translator and Language Detector APIs.
summarizer Experimentell: Steuert den Zugriff auf die Summarizer API.
usb Experimentell: Steuert, ob das aktuelle Dokument die WebUSB API verwenden darf.
web-share Experimentell: Steuert, ob das aktuelle Dokument die Navigator.share() der Web Share API verwenden darf, um Text, Links, Bilder und andere Inhalte zu beliebigen Zielen zu teilen, die die Benutzer ausgewählt haben, z. B. mobile Apps.
window-management Experimentell: Steuert, ob das aktuelle Dokument die Window Management API verwenden darf, um Fenster auf mehreren Bildschirmen zu verwalten.
xr-spatial-tracking Experimentell: Steuert, ob das aktuelle Dokument die WebXR Device API verwenden darf, um mit einer WebXR-Sitzung zu interagieren.

Beispiele

Grundlegende Verwendung

Permissions-Policy-Header

Um allen Ursprüngen Zugriff auf die Geolokalisierung zu gewähren, könnten Sie dies tun:

http

Permissions-Policy: geolocation=*

Oder um den Zugriff auf eine Teilmenge von Ursprüngen zu gewähren, könnten Sie dies tun:

http

Permissions-Policy: geolocation=(self "https://a.example.com" "https://b.example.com")

Mehrere Funktionen können gleichzeitig gesteuert werden, indem der Header mit einer komma-getrennten Liste von Richtlinien oder durch Senden eines separaten Headers für jede Richtlinie gesendet wird.

Zum Beispiel sind die folgenden äquivalent:

http

Permissions-Policy: picture-in-picture=(), geolocation=(self https://example.com/), camera=*

Permissions-Policy: picture-in-picture=()
Permissions-Policy: geolocation=(self https://example.com/)
Permissions-Policy: camera=*

iframes

Damit ein <iframe> eine Funktion aktiviert hat, muss auch der erlaubte Ursprung in der Allowlist für die übergeordnete Seite stehen. Aufgrund dieses Vererbungsverhaltens ist es eine gute Idee, den breitesten akzeptablen Support für eine Funktion im HTTP-Header anzugeben und dann die Teilmenge des Supports, die Sie in jedem <iframe> benötigen, festzulegen.

Um allen Ursprüngen Zugriff auf die Geolokalisierung zu gewähren, könnten Sie dies tun:

html

<iframe src="https://example.com" allow="geolocation *"></iframe>

Um eine Richtlinie auf den aktuellen Ursprung und andere anzuwenden, könnten Sie dies tun:

html

<iframe
  src="https://example.com"
  allow="geolocation 'self' https://a.example.com https://b.example.com"></iframe>

Dies ist wichtig: Standardmäßig wird die Richtlinie, wenn ein <iframe> zu einem anderen Ursprung navigiert, nicht auf den Ursprung angewendet, zu dem das <iframe> navigiert. Indem Sie den Ursprungsort, zu dem das <iframe> navigiert, im allow-Attribut aufführen, wird die Permissions Policy, die auf das ursprüngliche <iframe> angewendet wurde, auf den Ursprung angewendet, zu dem das <iframe> navigiert.

Mehrere Funktionen können gleichzeitig gesteuert werden, indem eine durch Semikolon getrennte Liste von Richtliniendirektiven im allow-Attribut enthalten ist.

html

<iframe
  src="https://example.com"
  allow="geolocation 'self' https://a.example.com https://b.example.com; fullscreen 'none'"></iframe>

Es lohnt sich, dem src-Wert eine besondere Erwähnung zu geben. Wir haben oben erwähnt, dass die Verwendung dieses Allowlist-Wertes bedeutet, dass die zugehörige Funktion in diesem <iframe> erlaubt wird, solange das darin geladene Dokument aus dem gleichen Ursprung wie die URL in seinem src-Attribut stammt. Dieser Wert ist der standardmäßige Allowlist-Wert für die in allow aufgeführten Funktionen, daher sind die folgenden äquivalent:

html

<iframe src="https://example.com" allow="geolocation 'src'"></iframe>
<iframe src="https://example.com" allow="geolocation"></iframe>

Zugriff auf leistungsstarke Funktionen verweigern

SecureCorp Inc. möchte die Mikrofon- (zum Beispiel MediaDevices.getUserMedia()) und Geolokalisierungs-APIs in seiner Anwendung deaktivieren. Sie können dies mit dem folgenden Antwortheader tun:

http

Permissions-Policy: microphone=(), geolocation=()

Indem () als Ursprungsliste angegeben wird, werden die angegebenen Funktionen für alle Browsing-Kontexte (dies schließt alle <iframe>s ein) unabhängig von ihrem Ursprung deaktiviert.

Kombination von HTTP-Header und `<iframe>`-Richtlinien

Angenommen, wir möchten die Nutzung von Geolokalisierung auf unserem eigenen Ursprung und in eingebetteten Inhalten aus unserem vertrauenswürdigen Werbenetzwerk aktivieren. Wir könnten die seitenweite Permissions Policy folgendermaßen einrichten:

http

Permissions-Policy: geolocation=(self https://trusted-ad-network.com)

In unseren Werbe-<iframe>s könnten wir den Zugriff für den Ursprung https://trusted-ad-network.com folgendermaßen einrichten:

html

<iframe src="https://trusted-ad-network.com" allow="geolocation"></iframe>

Wenn ein anderer Ursprung im <iframe> geladen wird, hätte er keinen Zugriff auf Geolokalisierung:

html

<iframe src="https://rogue-origin-example.com" allow="geolocation"></iframe>

Spezifikationen

Specification
Permissions Policy # permissions-policy-http-header-field

Browser-Kompatibilität

Siehe auch

Help improve MDN

Learn how to contribute Diese Seite wurde automatisch aus dem Englischen übersetzt.

Übersetzung auf GitHub anzeigen • Fehler mit dieser Übersetzung melden