Sec-Fetch-Dest
Baseline 2023
Newly available
Since March 2023, this feature works across the latest devices and browser versions. This feature might not work in older devices or browsers.
Der Sec-Fetch-Dest
Fetch-Metadaten-Anforderungsheader gibt das Ziel der Anfrage an. Das bedeutet der Initiator der ursprünglichen Fetch-Anfrage, welches angibt, wo (und wie) die abgerufenen Daten verwendet werden.
Dies ermöglicht Servern zu bestimmen, ob die Bearbeitung einer Anfrage basierend darauf erfolgen soll, ob sie für die erwartete Verwendung geeignet ist. Beispielsweise sollte eine Anfrage mit dem Ziel audio
Audiodaten anfordern und nicht eine andere Art von Ressource (wie zum Beispiel ein Dokument, das sensible Nutzerdaten enthält).
Header-Typ | Fetch-Metadaten-Anforderungsheader |
---|---|
Verbotener Header-Name | ja (Präfix Sec- ) |
CORS-gesicherter Anforderungsheader | nein |
Syntax
Sec-Fetch-Dest: audio
Sec-Fetch-Dest: audioworklet
Sec-Fetch-Dest: document
Sec-Fetch-Dest: embed
Sec-Fetch-Dest: empty
Sec-Fetch-Dest: fencedframe
Sec-Fetch-Dest: font
Sec-Fetch-Dest: frame
Sec-Fetch-Dest: iframe
Sec-Fetch-Dest: image
Sec-Fetch-Dest: manifest
Sec-Fetch-Dest: object
Sec-Fetch-Dest: paintworklet
Sec-Fetch-Dest: report
Sec-Fetch-Dest: script
Sec-Fetch-Dest: serviceworker
Sec-Fetch-Dest: sharedworker
Sec-Fetch-Dest: style
Sec-Fetch-Dest: track
Sec-Fetch-Dest: video
Sec-Fetch-Dest: webidentity
Sec-Fetch-Dest: worker
Sec-Fetch-Dest: xslt
Server sollten diesen Header ignorieren, wenn er einen anderen Wert enthält.
Direktiven
Hinweis: Diese Direktiven entsprechen den Werten, die von Request.destination
zurückgegeben werden.
audio
-
Das Ziel sind Audiodaten. Dies könnte von einem HTML-
<audio>
-Tag stammen. audioworklet
-
Das Ziel sind Daten, die für die Verwendung durch einen Audioworklet abgerufen wurden. Dies könnte von einem Aufruf von
audioWorklet.addModule()
stammen. document
-
Das Ziel ist ein Dokument (HTML oder XML), und die Anfrage ist das Ergebnis einer vom Benutzer initiierten Top-Level-Navigation (z.B. durch Klicken auf einen Link).
embed
-
Das Ziel ist eingebetteter Inhalt. Dies könnte von einem HTML-
<embed>
-Tag stammen. empty
-
Das Ziel ist der leere String. Dies wird für Ziele verwendet, die keinen eigenen Wert haben. Beispiele:
fetch()
,navigator.sendBeacon()
,EventSource
,XMLHttpRequest
,WebSocket
, usw. fencedframe
Experimentell-
Das Ziel ist ein fenced frame.
font
-
Das Ziel ist eine Schriftart. Dies könnte von CSS
@font-face
stammen. frame
-
Das Ziel ist ein Frame. Dies könnte von einem HTML-
<frame>
-Tag stammen. iframe
-
Das Ziel ist ein Inline-Frame. Dies könnte von einem HTML-
<iframe>
-Tag stammen. image
-
Das Ziel ist ein Bild. Dies könnte von einem HTML-
<img>
, SVG-<image>
, CSS-background-image
, CSS-cursor
, CSS-list-style-image
, usw. stammen. manifest
-
Das Ziel ist ein Manifest. Dies könnte von einem HTML <link rel=manifest> stammen.
object
-
Das Ziel ist ein Objekt. Dies könnte von einem HTML-
<object>
-Tag stammen. paintworklet
-
Das Ziel ist ein Mal-Worklet. Dies könnte von einem Aufruf von
CSS.PaintWorklet.addModule()
stammen. report
-
Das Ziel ist ein Bericht (zum Beispiel ein Bericht über eine Inhalts-Sicherheitsrichtlinie).
script
-
Das Ziel ist ein Skript. Dies könnte von einem HTML-
<script>
-Tag oder einem Aufruf vonWorkerGlobalScope.importScripts()
stammen. serviceworker
-
Das Ziel ist ein Service-Worker. Dies könnte von einem Aufruf von
navigator.serviceWorker.register()
stammen. -
Das Ziel ist ein Shared Worker. Dies könnte von einem
SharedWorker
stammen. style
-
Das Ziel ist ein Stil. Dies könnte von einem HTML-<link rel=stylesheet> oder einem CSS-
@import
stammen. track
-
Das Ziel ist ein HTML-Textspur. Dies könnte von einem HTML-
<track>
-Tag stammen. video
-
Das Ziel sind Videodaten. Dies könnte von einem HTML-
<video>
-Tag stammen. webidentity
-
Das Ziel ist ein Endpunkt, der mit der Verifizierung der Benutzeridentität verbunden ist. Zum Beispiel wird es in der FedCM API verwendet, um die Authentizität von Identitätsanbieter-Endpunkten (IdP) zu überprüfen und vor CSRF-Angriffen zu schützen.
worker
-
Das Ziel ist ein
Worker
. xslt
-
Das Ziel ist eine XSLT-Transformation.
Beispiele
Eine Cross-Site-Anfrage, die von einem <img>
-Element generiert wird, würde zu einer Anfrage mit den folgenden HTTP-Anforderungsheadern führen (beachten Sie, dass das Ziel image
ist):
Sec-Fetch-Dest: image
Sec-Fetch-Mode: no-cors
Sec-Fetch-Site: cross-site
Spezifikationen
Specification |
---|
Fetch Metadata Request Headers # sec-fetch-dest-header |
Browser-Kompatibilität
BCD tables only load in the browser
Siehe auch
-
Verwandte Header
-
Schützen Sie Ihre Ressourcen vor Webangriffen mit Fetch Metadata (web.dev)
-
Fetch Metadata Request Headers playground (secmetadata.appspot.com)