CSP: object-src

HTTP の Content-Security-Policyobject-src ディレクティブは、 <object>, <embed>, <applet> の各要素の妥当なソースを指定します。

<object>, <embed>, <applet> の各要素の許可される種類を設定するには、 plugin-types ディレクティブを使用してください。

メモ: object-src で制御される要素は、おそらく偶然にも古い HTML 要素と見なされており、新しい標準機能が搭載されていません (<iframe>sandboxallow などのセキュリティ属性など)。したがって、このフェッチディレクティブで制限することを推奨します (例えば、可能であれば明示的に object-src 'none' を設定するなど)。

CSP バージョン 1
ディレクティブ種別 フェッチディレクティブ
default-src による代替 あり。このディレクティブがない場合、ユーザーエージェントは `default-src` ディレクティブを探します。

構文

object-src ポリシーには、 1 つまたは複数のソースが許可されています。

Content-Security-Policy: object-src <source>;
Content-Security-Policy: object-src <source> <source>;

ソース

<source> は、 CSP ソース値にあるいずれかの値を取ることができます。

なお、この同じ値のセットはすべてのフェッチディレクティブ(と 他の多くのディレクティブ)で使用できます。

違反例

この CSP ヘッダーがある場合、

Content-Security-Policy: object-src https://example.com/

以下の <object>, <embed>, <applet> の各要素はブロックされ、読み込まれません。

<embed src="https://not-example.com/flash"></embed>
<object data="https://not-example.com/plugin"></object>
<applet archive="https://not-example.com/java"></applet>

仕様書

Specification
Content Security Policy Level 3
# directive-object-src

ブラウザーの互換性

BCD tables only load in the browser

関連情報