Заголовки: CSP.child-src

Content-Security-Policy: директива child-src

Базовая поддержка Широко доступно

Эта функция хорошо зарекомендовала себя и работает на многих устройствах и в разных версиях браузеров. Она доступна в браузерах с апреля 2017 года.

Подробнее
Полная таблица совместимости

Директива Content-Security-Policy (CSP) child-src HTTP определяет допустимые источники для веб-воркеров и вложенных контекстов просмотра, загружаемых с помощью таких элементов, как <frame> и <iframe>. Для воркеров пользовательский агент рассматривает несоответствующие запросы как критические сетевые ошибки.

Версия CSP	2
Тип директивы	Директива Fetch
`default-src` в качестве запасного варианта	Да. Если эта директива отсутствует, пользовательский агент проверит директиву `default-src`.

Синтаксис

Content-Security-Policy: child-src 'none';
Content-Security-Policy: child-src <source-expression-list>;

Эта директива может принимать одно из следующих значений:

'none'

Ресурсы этого типа загружать нельзя. Одинарные кавычки обязательны.

<source-expression-list>

Разделённый пробелами список значений выражений источника. Ресурсы этого типа можно загружать, если они соответствуют любому из указанных выражений источника. Для этой директивы применимы следующие значения выражений источника:

Примеры

Случаи нарушения

Для следующего заголовка CSP:

Content-Security-Policy: child-src https://example.com/

Этот <iframe> и воркер блокируются и не загружаются:

<iframe src="https://not-example.com"></iframe>

<script>
  const blockedWorker = new Worker("data:text/javascript,…");
</script>

Спецификации

Спецификация
Политика безопасности содержимого, уровень 3> # директива child-src>

Совместимость с браузерами

	Настольные					Мобильные
	Chrome	Edge	Firefox	Opera	Safari	Chrome Android	Firefox для Android	Opera Android	Safari на iOS	Samsung Internet	WebView Android	WebView на iOS
`child-src`	40	15	45	27	10	40	45	27	9.3	4.0	40	9.3

См. также

© 2005–2025 MDN contributors.
Licensed under the Creative Commons Attribution-ShareAlike License v2.5 or later.
https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Content-Security-Policy/child-src