Заголовки: CSP.object-src

Content-Security-Policy: директива object-src

Базовый уровень Широко доступно

Эта функция хорошо зарекомендовала себя и работает на многих устройствах и в разных версиях браузеров. Она доступна в браузерах с августа 2016 года.

Подробнее
Полная информация о совместимости

Директива HTTP Content-Security-Policy object-src указывает допустимые источники для элементов <object> и <embed>.

Примечание: Элементы, контролируемые object-src, возможно, случайно считаются устаревшими элементами HTML и не получают новых стандартизированных функций (например, атрибутов безопасности sandbox или allow для <iframe>). Поэтому рекомендуется ограничить эту директиву выборки (например, явно задать object-src 'none', если это возможно).

Версия CSP	1
Тип директивы	Директива выборки
`default-src` — резервная директива	Да. Если эта директива отсутствует, пользовательский агент проверит директиву `default-src`.

Синтаксис

Content-Security-Policy: object-src 'none';
Content-Security-Policy: object-src <source-expression-list>;

Эта директива может иметь одно из следующих значений:

'none'

Ресурсы этого типа загружать нельзя. Одинарные кавычки обязательны.

<source-expression-list>

Разделённый пробелами список значений выражений источника. Ресурсы этого типа можно загружать, если они соответствуют любому из указанных выражений источника. Для этой директивы применимы следующие значения выражений источника:

Примеры

Случаи нарушения

При наличии этого заголовка CSP:

Content-Security-Policy: object-src https://example.com/

Следующие элементы <object> и <embed> блокируются и не загружаются:

<embed src="https://not-example.com/flash" />
<object data="https://not-example.com/plugin"></object>

Спецификации

Спецификация
Политика безопасности содержимого, уровень 3> # directive-object-src>

Совместимость с браузерами

	Компьютеры					Мобильные устройства
	Chrome	Edge	Firefox	Opera	Safari	Chrome для Android	Firefox для Android	Opera для Android	Safari для iOS	Samsung Internet	WebView для Android	WebView для iOS
`object-src`	25	14	23	15	7	25	23	14	7	1.5	4.4	7

См. также

© 2005–2025 MDN contributors.
Licensed under the Creative Commons Attribution-ShareAlike License v2.5 or later.
https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Content-Security-Policy/object-src