Директива Content-Security-Policy (CSP) в заголовке HTTP script-src-attr задаёт допустимые источники для встроенных обработчиков событий JavaScript.

Эта директива задаёт допустимые источники только для встроенных обработчиков событий скриптов, например onclick. Она не применяется к другим источникам JavaScript, которые могут запускать выполнение скриптов, например к URL-адресам, непосредственно загружаемым в элементы <script>, и таблицам стилей XSLT. (Допустимые источники для всех источников скриптов JavaScript можно задать с помощью script-src, а только для элементов <script> — с помощью script-src-elem.)

Синтаксис

Content-Security-Policy: script-src-attr 'none';
Content-Security-Policy: script-src-attr <source-expression-list>;

Эта директива может принимать одно из следующих значений:

'none'

Запрещает загружать ресурсы этого типа. Одинарные кавычки обязательны.

<source-expression-list>

Список значений выражений источника, разделённых пробелами. Ресурсы этого типа можно загружать, если они соответствуют хотя бы одному из указанных выражений источника. Для этой директивы применимы следующие значения выражений источника:

• 'unsafe-hashes'
• 'unsafe-inline'
• 'report-sample'

script-src-attr можно использовать вместе с script-src; при проверке встроенных обработчиков эта директива будет иметь приоритет:

Content-Security-Policy: script-src <source>;
Content-Security-Policy: script-src-attr <source>;

Примеры

Случай нарушения

При следующем заголовке CSP:

Content-Security-Policy: script-src-attr 'none'

…следующий встроенный обработчик события будет заблокирован и не будет загружен или выполнен:

<button id="btn" onclick="doSomething()">Click me</button>

Обратите внимание: как правило, встроенные обработчики событий следует заменить вызовами addEventListener:

document.getElementById("btn").addEventListener("click", doSomething);

Спецификации

Совместимость с браузерами

См. также

• Content-Security-Policy
• <script>
• script-src
• script-src-elem