非常教程

HTTP参考手册

CSP

CSP: sandbox

HTTP Content-Security-Policy(CSP)sandbox伪指令为请求的资源启用类似于<iframe> sandbox属性的沙箱。它对页面的操作应用限制,包括阻止弹出窗口,阻止插件和脚本的执行以及强制执行同源策略。

CSP版本

1.1 / 2

指令类型

Document指令

| 此指令在<meta>元素或Content-Security-policy-Report-Only标题字段中不受支持。|

句法

Content-Security-Policy: sandbox;
Content-Security-Policy: sandbox <value>;

where <value> can optionally be one of the following values:

allow-forms允许嵌入式浏览上下文提交表单。如果未使用此关键字,则不允许此操作。

allow-modals允许嵌入式浏览上下文打开模态窗口。

allow-orientation-lock允许嵌入式浏览上下文禁用锁定屏幕方向的功能。

allow-pointer-lock允许嵌入式浏览上下文使用指针锁定API。

allow-popups允许弹出窗口(像window.opentarget="_blank"showModalDialog)。如果未使用此关键字,则该功能将悄然失败。

allow-popups-to-escape-sandbox允许沙盒文档打开新窗口而不强制沙盒标记。例如,这将允许第三方广告安全地进行沙盒处理,而不会对登录页面强加相同的限制。

allow-presentation允许嵌入程序控制iframe是否可以启动演示会话。

allow-same-origin允许将内容视为来自其正常来源。如果未使用此关键字,则将嵌入内容视为来自唯一来源。

allow-scripts允许嵌入式浏览上下文运行脚本(但不能创建弹出窗口)。如果未使用此关键字,则不允许此操作。

allow-top-navigation允许嵌入式浏览上下文将内容导航(加载)到顶层浏览上下文。如果未使用此关键字,则不允许此操作。

示例

Content-Security-Policy: sandbox allow-scripts;

规范

规范

状态

评论

内容安全策略级别3该规范中“sandbox”的定义。

编辑草稿

没有变化。

内容安全策略级别2该规范中“sandbox”的定义。

建议

初始定义。

浏览器兼容性

特征

Chrome

Firefox

Edge

Internet Explorer

Opera

Safari

基本支持

25

50.0

14

10

15

7

特征

Android

Chrome for Android

Edge mobile

Firefox for Android

IE mobile

Opera Android

iOS Safari

基本支持

4.4

(Yes)

?

50.0

10

?

7.1