Директива Content-Security-Policy (CSP) style-src-elem HTTP задаёт допустимые источники для элементов <style> и элементов <link> таблиц стилей с rel="stylesheet".

Эта директива не задаёт допустимые источники для встроенных атрибутов стилей; для них используется style-src-attr (а допустимые источники для всех стилей можно задать с помощью style-src).

Синтаксис

Content-Security-Policy: style-src-elem 'none';
Content-Security-Policy: style-src-elem <source-expression-list>;

Эта директива может принимать одно из следующих значений:

'none'

Ресурсы этого типа загружаться не могут. Одинарные кавычки обязательны.

<source-expression-list>

Список значений выражений источника, разделённых пробелами. Ресурсы этого типа можно загружать, если они соответствуют любому из указанных выражений источника. Для этой директивы применимы те же значения выражений источника, что и для style-src, за исключением 'unsafe-hashes'.

style-src-elem можно использовать вместе с style-src:

Content-Security-Policy: style-src <source>;
Content-Security-Policy: style-src-elem <source>;

Примеры

Случаи нарушения

При наличии этого заголовка CSP:

Content-Security-Policy: style-src-elem https://example.com/

…следующие таблицы стилей блокируются и не загружаются:

<link href="https://not-example.com/styles/main.css" rel="stylesheet" />

<style>
  #inline-style {
    background: red;
  }
</style>

<style>
  @import "https://not-example.com/styles/print.css" print;
</style>

…а также стили, загруженные с помощью заголовка Link:

Link: <https://not-example.com/styles/stylesheet.css>;rel=stylesheet

Спецификации

Совместимость с браузерами

См. также

• Content-Security-Policy
• style-src
• style-src-attr
• Заголовок Link
• <style>, <link>
• @import
• CSSStyleSheet.insertRule()
• CSSGroupingRule.insertRule()
• CSSStyleDeclaration.cssText