Политика функций предоставляет механизм для явного объявления, какие функции используются (или не используются) на вашем сайте. Это позволяет закрепить лучшие практики, даже по мере развития кодовой базы, а также более безопасно использовать контент третьих сторон — ограничив доступные функции.

С помощью Политики функций вы включаете набор «политик» для браузера, которые будут применяться к конкретным функциям, используемым на сайте. Эти политики ограничивают доступ сайта к API или изменяют поведение браузера для определенных функций.

Примеры того, что можно сделать с помощью Политики функций:

• Изменение поведения автоматического воспроизведения на мобильных устройствах и видео от третьих сторон.
• Ограничение использования сайта чувствительными устройствами, такими как камера, микрофон или динамики.
• Разрешение фреймам использовать API полноэкранного режима.
• Заблокировать использование устаревших API, таких как синхронный XHR и document.write().
• Обеспечение правильного размера изображений и предотвращение их чрезмерной большой ширины для области просмотра.

Политика функций позволяет управлять тем, какие источники могут использовать какие функции, как в главном документе, так и во вложенных фреймах. По сути, вы создаете политику — разрешенный список источников для каждой функции. Для каждой функции, контролируемой Политикой функций, функция включена в текущем документе или фрейме только в том случае, если его источник соответствует разрешенному списку источников.

Для каждой функции, контролируемой политикой, браузер сохраняет список источников, для которых функция включена, известный как список разрешенных источников. Если вы не указываете политику для функции, будет использоваться список разрешенных источников по умолчанию. Список разрешенных источников по умолчанию специфичен для каждой функции.

Политика описывается с помощью набора отдельных директив политики. Директива политики — это сочетание определенного имени функции и списка разрешенных источников, которые могут использовать эту функцию.

Политика функций предоставляет два способа указания политик для управления функциями:

• Заголовок HTTP Feature-Policy.
• Атрибут allow для фреймов.

Основное различие между заголовком HTTP и атрибутом allow заключается в том, что атрибут allow управляет только функциями внутри фрейма. Заголовок управляет функциями в ответе и любым вложенным содержимым на странице.

Для получения более подробной информации см. Использование Политики функций.

Сценарии могут запрограммированно получить информацию о политике функций с помощью объекта FeaturePolicy, расположенного в Document.featurePolicy или HTMLIFrameElement.featurePolicy.

Хотя Политика функций предоставляет управление множеством функций с помощью согласованного синтаксиса, поведение контролируемых функциями политик варьируется и зависит от нескольких факторов.

Общий принцип заключается в том, что для веб-разработчиков должен быть интуитивно понятный или не нарушающий способ определения или обработки случая, когда функция отключена. Для новых функций может быть предоставлен явный API для сигнализации об их состоянии. Существующие функции, которые позже интегрируются с Политикой функций, обычно будут использовать существующие механизмы. Некоторые подходы включают:

• Возвращение «разрешения отказано» для JavaScript-API, требующих предоставления разрешений пользователя.
• Возвращение false или ошибка из существующего JavaScript-API, обеспечивающего доступ к функции.
• Изменение значений или параметров по умолчанию, которые управляют поведением функции.

Текущий набор функций, контролируемых политикой, делится на две большие категории:

• Обеспечение соблюдения лучших практик для обеспечения хорошего пользовательского опыта.
• Предоставление точного управления чувствительными или мощными функциями.

Есть несколько функций, контролируемых политикой, которые помогут обеспечить соблюдение лучших практик для обеспечения хорошей производительности и пользовательского опыта.

В большинстве случаев контролируемые политикой функции представляют собой функциональность, которая, если ее использовать, негативно повлияет на пользовательский опыт. Чтобы избежать разрыва существующего веб-контента, значение по умолчанию для таких контролируемых политикой функций — разрешить использование функциональности всеми источниками. Лучшие практики затем обеспечиваются путем применения политик, которые отключают контролируемые политикой функции. Для получения более подробной информации см. Обеспечение соблюдения лучших практик для обеспечения хорошего пользовательского опыта

Функции включают:

• Анимации, влияющие на макет
• Устаревшие форматы изображений
• Слишком большие изображения
• Синхронные скрипты
• Синхронный XMLHTTPRequest
• Неоптимизированные изображения
• Неоптимизированные медиа

Веб предоставляет функциональность и API, которые могут иметь риски для конфиденциальности или безопасности при злоупотреблении. В некоторых случаях вы можете захотеть строго ограничить использование такой функциональности на веб-сайте. Существуют функции, контролируемые политикой, позволяющие включать/отключать функциональность для определенных источников или фреймов на сайте. Где это возможно, функция интегрируется с API разрешений или специфичными для функции механизмами для проверки доступности функции.

Функции включают (см. Список функций):

• Акселерометр
• Датчик освещенности
• Автовоспроизведение
• Камера
• Зашифрованные медиа
• Полноэкранный режим
• Джойстик
• Географическое положение
• Гироскоп
• Магнитометр
• Микрофон
• MIDI
• PaymentRequest
• Картинка-в-картинке
• Динамики
• USB
• API совместного использования веб-контента
• VR/XR

• Использование Политики функций
• См. Демонстрации Политики функций для примеров использования многих политик.

• Использование политики функций
• Feature-Policy HTTP-заголовок
• allow атрибут во фреймах iframe
• Введение в политику функций
• Политики функций на www.chromestatus.com
• Тестер политики функций (расширение для инструментов разработчика Chrome)
• Конфиденциальность, разрешения и безопасность информации