CSP: object-src
Baseline Widely available
This feature is well established and works across many devices and browser versions. It’s been available across browsers since August 2016.
HTTP の Content-Security-Policy の object-src ディレクティブは、 <object> や <embed> 要素の有効なソースを指定します。
メモ: object-src で制御される要素は、おそらく偶然にも古い HTML 要素と見なされており、新しい標準機能が搭載されていません（<iframe> の sandbox や allow などのセキュリティ属性など）。したがって、このフェッチディレクティブで制限することを推奨します （例えば、可能であれば明示的に object-src 'none' を設定するなど）。
| CSP バージョン | 1 |
|---|---|
| ディレクティブ種別 | フェッチディレクティブ |
default-src による代替 |
あり。このディレクティブがない場合、ユーザーエージェントは default-src ディレクティブを探します。
|
構文
http
Content-Security-Policy: object-src 'none';
Content-Security-Policy: object-src <source-expression-list>;
このディレクティブは、次のいずれかの値を指定することができます。
'none'-
この種類のリソースは読み込まれません。単一引用符は必須です。
<source-expression-list>-
ソース表現の値を空白で区切ったリストです。この種類のリソースは、指定されたソース表現のいずれかと一致した場合に読み込まれます。このディレクティブでは、以下のソース表現の値が適用できます。
例
違反の場合
この CSP ヘッダーがある場合、
http
Content-Security-Policy: object-src https://example.com/
以下の <object> や <embed> 要素はブロックされ、読み込まれません。
html
<embed src="https://not-example.com/flash"></embed>
<object data="https://not-example.com/plugin"></object>
仕様書
| Specification |
|---|
| Content Security Policy Level 3 # directive-object-src |