CSP: script-src-elem

Der HTTP-Header Content-Security-Policy (CSP) script-src-elem-Direktive gibt gültige Quellen für JavaScript-<script>-Elemente an.

Diese Direktive spezifiziert nur gültige Quellen in <script>-Elementen (sowohl Skriptanfragen als auch Blockierungen). Sie gilt nicht für andere JavaScript-Quellen, die Skriptausführung auslösen können, wie Inline-Skript-Ereignishandler (onclick), Skriptausführungsmethoden beschränkt durch den Check "unsafe-eval" und XSLT-Stylesheets. (Gültige Quellen können für alle JavaScript-Skriptquellen mit script-src oder nur für Inline-Skripthandler mit script-src-attr angegeben werden.)

CSP-Version 3
Direktivtyp Fetch-Direktive
default-src Rückfall Ja. Ist diese Direktive nicht vorhanden, sucht der Benutzeragent nach der script-src-Direktive und fällt, wenn beide fehlen, auf die default-src-Direktive zurück.

Syntax

http
Content-Security-Policy: script-src-elem 'none';
Content-Security-Policy: script-src-elem <source-expression-list>;

Diese Direktive kann einen der folgenden Werte haben:

'none'

Es dürfen keine Ressourcen dieses Typs geladen werden. Die einfachen Anführungszeichen sind obligatorisch.

<source-expression-list>

Eine durch Leerzeichen getrennte Liste von Source Expression-Werten. Ressourcen dieses Typs dürfen geladen werden, wenn sie mit einem der angegebenen Source Expressions übereinstimmen. Für diese Direktive sind alle in der Fetch-Direktiven-Syntax aufgeführten Source Expression-Werte anwendbar, mit Ausnahme von 'unsafe-hashes'.

script-src-elem kann zusammen mit script-src verwendet werden:

http
Content-Security-Policy: script-src <source>;
Content-Security-Policy: script-src-elem <source>;

Beispiele

Verletzungsfall

Angenommen, dieser CSP-Header:

http
Content-Security-Policy: script-src-elem https://example.com/

…wird das folgende Skript blockiert und nicht geladen oder ausgeführt:

html
<script src="https://not-example.com/js/library.js"></script>

Spezifikationen

Specification
Content Security Policy Level 3
# directive-script-src-elem

Browser-Kompatibilität

BCD tables only load in the browser

Siehe auch