CSP: sandbox - HTTP 编辑

The HTTP Content-Security-Policy (CSP) sandbox directive enables a sandbox for the requested resource similar to the <iframe> sandbox attribute. It applies restrictions to a page's actions including preventing popups, preventing the execution of plugins and scripts, and enforcing a same-origin policy.

句法

Content-Security-Policy: sandbox;
Content-Security-Policy: sandbox <value>;

<value>可以选择是以下值之一：

allow-forms

允许嵌入式浏览上下文提交表单。如果未使用此关键字，则不允许此操作。

allow-modals

允许嵌入式浏览上下文打开模态窗口。

allow-orientation-lock

允许嵌入式浏览上下文禁用锁定屏幕方向的功能。

allow-pointer-lock

允许嵌入式浏览上下文使用Pointer Lock API。

allow-popups

允许弹出窗口（像window.open，target="_blank"，showModalDialog）。如果未使用此关键字，则该功能将无提示失败。

allow-popups-to-escape-sandbox

允许沙盒文档打开新窗口而不强制沙盒标记。例如，这将允许安全地沙箱化第三方广告，而不会对登陆页面施加相同的限制。

allow-presentation

允许嵌入器控制iframe是否可以启动演示会话。

allow-same-origin

允许将内容视为来自其正常来源。如果未使用此关键字，则嵌入的内容将被视为来自唯一来源。

allow-scripts

允许嵌入式浏览上下文运行脚本（但不创建弹出窗口）。如果未使用此关键字，则不允许此操作。

allow-top-navigation

允许嵌入式浏览上下文将内容导航（加载）到顶级浏览上下文。如果未使用此关键字，则不允许此操作。

例子

Content-Security-Policy: sandbox allow-scripts;

Specifications

浏览器兼容性

The compatibility table in this page is generated from structured data. If you'd like to contribute to the data, please check out https://github.com/mdn/browser-compat-data and send us a pull request.

No compatibility data found. Please contribute data for "http.headers.csp.sandbox" (depth: 1) to the MDN compatibility data repository.

See also

• Content-Security-Policy
• sandbox attribute on <iframe> elements