CSPViolationReportBody: disposition-Eigenschaft
Die schreibgeschützte Eigenschaft disposition des CSPViolationReportBody-Interfaces gibt an, ob der Benutzer-Agent so konfiguriert ist, dass Verstöße gegen die Content Security Policy (CSP) erzwungen werden oder nur gemeldet werden.
Wert
Mögliche Werte sind:
Beispiele
CSP Inline-Skript-Verstoß zeigt die Disposition
Dieses Beispiel löst einen CSP-Verstoß mit einem Inline-Skript aus und meldet den Verstoß mit einem ReportingObserver.
Die disposition wird protokolliert.
HTML
Die folgende HTML-Datei verwendet das <meta>-Element, um den Content-Security-Policy default-src auf self zu setzen. Dadurch können Skripte und andere Ressourcen aus derselben Domain geladen werden, aber Inline-Skripte dürfen nicht ausgeführt werden.
Das Dokument enthält außerdem ein Inline-Skript, das daher einen CSP-Verstoß auslösen sollte.
<!doctype html>
<html lang="en">
<head>
<meta
http-equiv="Content-Security-Policy"
content="default-src 'self'; report-to csp-endpoint" />
<meta
http-equiv="Reporting-Endpoints"
content="csp-endpoint='https://example.com/csp-reports'" />
<script src="main.js"></script>
<title>CSP: Violation due to inline script</title>
</head>
<body>
<h1>CSP: Violation due to inline script</h1>
<script>
const int = 4;
</script>
</body>
</html>
JavaScript (main.js)
Das oben genannte Dokument lädt außerdem das externe Skript main.js, das unten gezeigt wird.
Da dieses aus derselben Domain wie das HTML geladen wird, wird es nicht von der CSP blockiert.
Das Skript erstellt einen neuen ReportingObserver, um Berichte über Inhaltsverletzungen des Typs "csp-violation" zu beobachten.
Jedes Mal, wenn die Rückruffunktion aufgerufen wird, erhalten wir den Körper des ersten Eintrags des Berichtsarrays und verwenden ihn, um die Datei, Zeile und Spalte des Verstoßes in der Konsole zu protokollieren.
// main.js
const observer = new ReportingObserver(
(reports, observer) => {
const cspViolationBody = reports[0].body;
console.log(`disposition: ${cspViolationBody.disposition}`);
// For example: "enforce"
},
{
types: ["csp-violation"],
buffered: true,
},
);
observer.observe();
Beachten Sie, dass, obwohl es möglicherweise mehrere Berichte im zurückgegebenen Array gibt, wir zur Kürze nur die Werte des ersten Elements protokollieren.
Ergebnisse
Wenn der obige Code bereitgestellt wird, wäre die Protokollausgabe:
disposition: enforce
Hinweis:
Wenn Content-Security-Policy-Reporting-Only aktiviert wäre, würde die Disposition report lauten.
Beachten Sie jedoch, dass Content-Security-Policy-Reporting-Only bereitgestellt werden muss: Es kann nicht im <meta>-Element gesetzt werden, wie wir es oben gemacht haben.
Spezifikationen
| Specification |
|---|
| Content Security Policy Level 3 # dom-cspviolationreportbody-disposition |
Browser-Kompatibilität
Loading…