Директива Content-Security-Policy (CSP) в HTTP script-src-elem задаёт допустимые источники для элементов <script> JavaScript.

Эта директива задаёт допустимые источники только для элементов <script> (как запросов скриптов, так и блоков). Она не распространяется на другие источники JavaScript, которые могут запускать скрипты, например на встроенные обработчики событий скриптов (onclick), методы выполнения скриптов, доступные при прохождении проверки "unsafe-eval", и таблицы стилей XSLT. (Допустимые источники для всех источников скриптов JavaScript можно задать с помощью script-src, а только для встроенных обработчиков скриптов — с помощью script-src-attr.)

Синтаксис

Content-Security-Policy: script-src-elem 'none';
Content-Security-Policy: script-src-elem <source-expression-list>;

Эта директива может иметь одно из следующих значений:

'none'

Ресурсы этого типа загружать нельзя. Одинарные кавычки обязательны.

<source-expression-list>

Разделённый пробелами список значений выражений источника. Ресурсы этого типа можно загружать, если они соответствуют любому из указанных выражений источника. Для этой директивы применимы любые значения выражений источника, перечисленные в разделе Синтаксис директивы выборки, за исключением 'unsafe-hashes'.

script-src-elem можно использовать вместе с script-src:

Content-Security-Policy: script-src <source>;
Content-Security-Policy: script-src-elem <source>;

Примеры

Случай нарушения

Для следующего заголовка CSP:

Content-Security-Policy: script-src-elem https://example.com/

…следующий скрипт блокируется и не будет загружен или выполнен:

<script src="https://not-example.com/js/library.js"></script>

Спецификации

Совместимость с браузерами

См. также

• Content-Security-Policy
• <script>
• script-src
• script-src-attr