CSP: script-src-elem
HTTP の Content-Security-Policy (CSP) における script-src-elem ディレクティブは、 JavaScript の <script> 要素の有効なソースを指定しますが、 onclick のようなインラインスクリプトのイベントハンドラーは指定しません。
| CSP バージョン | 3 |
|---|---|
| ディレクティブ種別 | フェッチディレクティブ |
default-src による代替 |
あり。このディレクティブがない場合、ユーザーエージェントは script-src ディレクティブを探し、両方ともない場合は、 default-src ディレクティブで代替します。 |
構文
script-src-elem ポリシーには、 1 つまたは複数のソースが許可されています。
Content-Security-Policy: script-src-elem <source>;
Content-Security-Policy: script-src-elem <source> <source>;
script-src-elem は script-src との組み合わせで使用することができます。
Content-Security-Policy: script-src <source>;
Content-Security-Policy: script-src-elem <source>;
ソース
<source> は、 CSP ソース値にあるいずれかの値を取ることができます。
なお、この同じ値のセットはすべてのフェッチディレクティブ（と 他の多くのディレクティブ）で使用できます。
例
script-src への代替
script-src-elem 存在しない場合、ユーザーエージェントは script-src ディレクティブで代替し、こちらも同様にない場合は、 default-src で代替します。
仕様書
| Specification |
|---|
| Content Security Policy Level 3 # directive-script-src-elem |
ブラウザーの互換性
BCD tables only load in the browser