Директива base-uri HTTP Content-Security-Policy ограничивает URL-адреса, которые можно использовать в элементе <base> документа. Если это значение не задано, разрешён любой URI. Если эта директива отсутствует, пользовательский агент использует значение элемента <base>.

Синтаксис

Content-Security-Policy: base-uri 'none';
Content-Security-Policy: base-uri <source-expression-list>;

Эта директива может принимать одно из следующих значений:

'none'

Базовый URI нельзя задавать с помощью элемента <base>. Одинарные кавычки обязательны.

<source-expression-list>

Разделённый пробелами список значений выражений источника. Элемент <base> может задавать базовый URI, если его значение соответствует любому из указанных выражений источника. Для этой директивы применимы следующие значения выражений источника:

• <host-source>
• <scheme-source>
• 'self'

Примеры

Настройка с помощью метатега

<meta http-equiv="Content-Security-Policy" content="base-uri 'self'" />

Настройка Apache

<IfModule mod_headers.c>
Header set Content-Security-Policy "base-uri 'self'";
</IfModule>

Настройка Nginx

add_header Content-Security-Policy "base-uri 'self';"

Случай нарушения

Поскольку ваш домен не является example.com, элемент <base> со значением href, равным https://example.com, приведёт к нарушению CSP.

<meta http-equiv="Content-Security-Policy" content="base-uri 'self'" />
<base href="https://example.com/" />

<!--
// Error: Refused to set the document's base URI to 'https://example.com/'
// because it violates the following Content Security Policy
// directive: "base-uri 'self'"
-->

Спецификации

Совместимость с браузерами

См. также

• Content-Security-Policy
• <base>
• Node.baseURI