CSP: worker-src

Направление HTTP Content-Security-Policy (CSP) worker-src определяет допустимые источники для Worker, SharedWorker или ServiceWorker скриптов.

Версия CSP	3
Тип директивы	Директива Fetch
Падение	Если эта директива отсутствует, пользовательский агент сначала ищет директиву `child-src`, затем директиву `script-src`, а затем директиву `default-src` для управления выполнением worker.

Синтаксис

Для политики worker-src можно разрешить один или несколько источников:

Content-Security-Policy: worker-src <source>;
Content-Security-Policy: worker-src <source> <source>;

Источники

<source> может быть любым из значений, перечисленных в Значения источников CSP.

Обратите внимание, что этот же набор значений можно использовать во всех директивах fetch (и ряде других директив).

Примеры

Случаи нарушения

Учитывая заголовок CSP:

Content-Security-Policy: worker-src https://example.com/

Worker, SharedWorker, ServiceWorker заблокированы и не будут загружаться:

<script>
  let blockedWorker = new Worker("data:application/javascript,…");
  blockedWorker = new SharedWorker("https://not-example.com/");
  navigator.serviceWorker.register("https://not-example.com/sw.js");
</script>

Спецификации

Спецификация
Уровень 3 политики безопасности содержимого веб-приложений # directive-worker-src

Совместимость с браузерами

	Рабочий стол						Мобильное устройство
	Chrome	Edge	Firefox	Internet Explorer	Opera	Safari	WebView Android	Chrome Android	Firefox для Android	Opera Android	Safari на iOS	Samsung Internet
`worker-src`	59 Chrome 59 и выше пропускают устаревшую директиву `child-src`.	79	58	Нет	46 Opera 46 и выше пропускают устаревшую директиву `child-src`.	15.5	59 Chrome 59 и выше пропускают устаревшую директиву `child-src`.	59 Chrome 59 и выше пропускают устаревшую директиву `child-src`.	58	43 Opera 43 и выше пропускают устаревшую директиву `child-src`.	15.5	7.0

См. также

© 2005–2022 MDN contributors.
Licensed under the Creative Commons Attribution-ShareAlike License v2.5 or later.
https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/worker-src