Директива HTTP Content-Security-Policy (CSP) sandbox включает песочницу для запрошенного ресурса, аналогичную атрибуту <iframe> sandbox. Она накладывает ограничения на действия страницы, в том числе запрещает всплывающие окна, выполнение плагинов и скриптов, а также обеспечивает соблюдение политики одного источника.

Синтаксис

Content-Security-Policy: sandbox;
Content-Security-Policy: sandbox <value>;

где <value> может принимать одно из следующих необязательных значений:

allow-downloads

Разрешает скачивать файлы через элемент <a> или <area> с атрибутом download, а также при переходе по ссылке, ведущем к скачиванию файла. Это работает независимо от того, нажал ли пользователь на ссылку или код JS инициировал скачивание без взаимодействия с пользователем.

allow-forms

Разрешает странице отправлять формы. Если это ключевое слово не используется, форма будет отображаться как обычно, но её отправка не запустит проверку введённых данных, отправку данных на веб-сервер или закрытие диалогового окна.

allow-modals

Разрешает странице открывать модальные окна с помощью методов Window.alert(), Window.confirm(), Window.print() и Window.prompt(), при этом открытие элемента <dialog> разрешено независимо от этого ключевого слова. Оно также позволяет странице получать событие BeforeUnloadEvent.

allow-orientation-lock

Позволяет ресурсу блокировать ориентацию экрана.

allow-pointer-lock

Разрешает странице использовать API блокировки указателя.

allow-popups

Разрешает открывать всплывающие окна (например, созданные с помощью Window.open() или target="_blank"). Если это ключевое слово не используется, открытие всплывающего окна будет беззвучно отклонено.

allow-popups-to-escape-sandbox

Разрешает документу в песочнице открывать новые окна, не распространяя на них флаги песочницы. Например, это позволяет безопасно помещать в песочницу стороннюю рекламу, не распространяя те же ограничения на страницу, на которую ведёт ссылка в объявлении.

allow-presentation

Позволяет встраивающим документам контролировать, может ли iframe запустить сеанс презентации.

allow-same-origin

Позволяет ресурсу в песочнице сохранить свой источник. В противном случае ресурс в песочнице считается имеющим непрозрачный источник, что гарантирует, что он всегда будет проходить проверки политики одного источника с ошибкой и, следовательно, не сможет получить доступ к localstorage и document.cookie, а также к некоторым API JavaScript. Origin ресурсов в песочнице без ключевого слова allow-same-origin — null.

allow-scripts

Разрешает странице выполнять скрипты (но не создавать всплывающие окна). Если это ключевое слово не используется, выполнение скриптов запрещено.

allow-storage-access-by-user-activation

Позволяет ресурсу запрашивать доступ к возможностям хранилища родительского документа с помощью API доступа к хранилищу.

allow-top-navigation

Позволяет ресурсу перемещать контекст просмотра верхнего уровня (тот, который называется _top).

allow-top-navigation-by-user-activation

Позволяет ресурсу перемещать контекст просмотра верхнего уровня, но только если это действие инициировано жестом пользователя.

allow-top-navigation-to-custom-protocols

Разрешает переходы по протоколам, отличным от http, встроенным в браузер или зарегистрированным веб-сайтом. Эта возможность также включается ключевым словом allow-popups или allow-top-navigation.

Примеры

Content-Security-Policy: sandbox allow-scripts;

Спецификации

Совместимость с браузерами

См. также

• Content-Security-Policy
• Атрибут sandbox элементов <iframe>