Sec-Fetch-Dest

Baseline 2023

Newly available

Since March 2023, this feature works across the latest devices and browser versions. This feature might not work in older devices or browsers.

Der HTTP-Sec-Fetch-Dest fetch metadata request header zeigt das Ziel der Anfrage an. Das ist der Initiator der ursprünglichen Fetch-Anfrage, d. h., wo (und wie) die angeforderten Daten verwendet werden.

Dies ermöglicht es Servern zu bestimmen, ob eine Anfrage bedient werden soll, basierend darauf, ob sie entsprechend der erwarteten Verwendung angemessen ist. Beispielsweise sollte eine Anfrage mit einem audio-Ziel Audiodaten anfordern und keine andere Art von Ressource (z. B. ein Dokument, das sensible Benutzerinformationen enthält).

Header-Typ Fetch Metadata Request Header
Verbotener Header-Name Ja (Sec--Präfix)
CORS-safelisted request header Nein

Syntax

http
Sec-Fetch-Dest: audio
Sec-Fetch-Dest: audioworklet
Sec-Fetch-Dest: document
Sec-Fetch-Dest: embed
Sec-Fetch-Dest: empty
Sec-Fetch-Dest: fencedframe
Sec-Fetch-Dest: font
Sec-Fetch-Dest: frame
Sec-Fetch-Dest: iframe
Sec-Fetch-Dest: image
Sec-Fetch-Dest: manifest
Sec-Fetch-Dest: object
Sec-Fetch-Dest: paintworklet
Sec-Fetch-Dest: report
Sec-Fetch-Dest: script
Sec-Fetch-Dest: serviceworker
Sec-Fetch-Dest: sharedworker
Sec-Fetch-Dest: style
Sec-Fetch-Dest: track
Sec-Fetch-Dest: video
Sec-Fetch-Dest: webidentity
Sec-Fetch-Dest: worker
Sec-Fetch-Dest: xslt

Server sollten diesen Header ignorieren, wenn er einen anderen Wert enthält.

Direktiven

Hinweis: Diese Direktiven entsprechen den Werten, die von Request.destination zurückgegeben werden.

audio

Das Ziel sind Audiodaten. Dies könnte von einem HTML-<audio>-Tag stammen.

audioworklet

Das Ziel sind Daten, die für die Verwendung durch einen Audio-Worklet abgerufen werden. Dies könnte von einem Aufruf von audioWorklet.addModule() stammen.

document

Das Ziel ist ein Dokument (HTML oder XML), und die Anfrage ist das Ergebnis einer vom Benutzer initiierten Top-Level-Navigation (z. B. durch Klicken eines Links).

embed

Das Ziel ist eingebetteter Inhalt. Dies könnte von einem HTML-<embed>-Tag stammen.

empty

Das Ziel ist der leere Zeichenfolge. Dies wird für Ziele verwendet, die keinen eigenen Wert haben. Zum Beispiel: fetch(), navigator.sendBeacon(), EventSource, XMLHttpRequest, WebSocket, etc.

fencedframe Experimentell

Das Ziel ist ein fenced frame.

font

Das Ziel ist eine Schriftart. Dies könnte von CSS @font-face stammen.

frame

Das Ziel ist ein Frame. Dies könnte von einem HTML-<frame>-Tag stammen.

iframe

Das Ziel ist ein Iframe. Dies könnte von einem HTML-<iframe>-Tag stammen.

image

Das Ziel ist ein Bild. Dies könnte von einem HTML-<img>, SVG <image>, CSS background-image, CSS cursor, CSS list-style-image, etc. stammen.

manifest

Das Ziel ist ein Manifest. Dies könnte von einem HTML <link rel=manifest> stammen.

object

Das Ziel ist ein Objekt. Dies könnte von einem HTML-<object>-Tag stammen.

paintworklet

Das Ziel ist ein Paint Worklet. Dies könnte von einem Aufruf von CSS.PaintWorklet.addModule() stammen.

report

Das Ziel ist ein Bericht (zum Beispiel ein Bericht zur Content-Security-Policy).

script

Das Ziel ist ein Skript. Dies könnte von einem HTML-<script>-Tag oder einem Aufruf von WorkerGlobalScope.importScripts() stammen.

serviceworker

Das Ziel ist ein Serviceworker. Dies könnte von einem Aufruf von navigator.serviceWorker.register() stammen.

sharedworker

Das Ziel ist ein Shared Worker. Dies könnte von einem SharedWorker stammen.

style

Das Ziel ist ein Stil. Dies könnte von einem HTML <link rel=stylesheet> oder einem CSS @import stammen.

track

Das Ziel ist ein HTML-Texttrack. Dies könnte von einem HTML-<track>-Tag stammen.

video

Das Ziel sind Videodaten. Dies könnte von einem HTML-<video>-Tag stammen.

webidentity

Das Ziel ist ein Endpunkt, der mit der Verifizierung der Benutzeridentität verbunden ist. Zum Beispiel wird es in der FedCM API verwendet, um die Authentizität von Identitätsanbieter-Endpunkten (IdP) zu überprüfen, um CSRF-Angriffe zu verhindern.

worker

Das Ziel ist ein Worker.

xslt

Das Ziel ist eine XSLT-Transformation.

Beispiele

Verwendung von Sec-Fetch-Dest

Eine siteübergreifende Anfrage, die durch ein <img>-Element generiert wird, würde in einer Anfrage mit den folgenden HTTP-Anfrage-Headern resultieren (beachten Sie, dass das Ziel image ist):

http
Sec-Fetch-Dest: image
Sec-Fetch-Mode: no-cors
Sec-Fetch-Site: cross-site

Spezifikationen

Specification
Fetch Metadata Request Headers
# sec-fetch-dest-header

Browser-Kompatibilität

BCD tables only load in the browser

Siehe auch