Директива HTTP Content-Security-Policy (CSP) require-trusted-types-for предписывает пользовательским агентам контролировать данные, передаваемые функциям — точкам внедрения DOM XSS, например сеттеру Element.innerHTML.

При использовании эти функции принимают только значения с типами, созданные политиками Trusted Type, которые невозможно подделать, и отклоняют строки. В сочетании с директивой trusted-types, которая ограничивает создание политик Trusted Type, это позволяет авторам определять правила, контролирующие запись значений в DOM. Тем самым область возможных атак DOM XSS сокращается до небольших изолированных участков кодовой базы веб-приложения, которые проще отслеживать и проверять.

Синтаксис

Content-Security-Policy: require-trusted-types-for 'script';

'script'

Запрещает использование строк с функциями — точками внедрения DOM XSS и требует соответствия типов, созданных политиками Trusted Type.

Примеры

// Content-Security-Policy: require-trusted-types-for 'script'; trusted-types foo;

const attackerInput = '<svg onload="alert(/cross-site-scripting/)" />';
const el = document.createElement("div");

if (typeof trustedTypes !== "undefined") {
  // Create a policy that can create TrustedHTML values
  // after sanitizing the input strings with DOMPurify library.
  const sanitizer = trustedTypes.createPolicy("foo", {
    createHTML: (input) => DOMPurify.sanitize(input),
  });

  el.innerHTML = sanitizer.createHTML(attackerInput); // Puts the sanitized value into the DOM.
  el.innerHTML = attackerInput; // Rejects a string value; throws a TypeError.
}

Спецификации

Совместимость с браузерами

См. также

• Content-Security-Policy
  • Директива trusted-types
  • Ключевое слово trusted-types-eval
• API Trusted Types
  • Интерфейсы точек внедрения
• Межсайтовый скриптинг (XSS)