CSP: worker-src

Baseline Widely available

This feature is well established and works across many devices and browser versions. It’s been available across browsers since ⁨2022年5月⁩.

HTTP のContent-Security-Policy (CSP) におけるworker-src ディレクティブは、Worker,SharedWorker,ServiceWorker スクリプトの有効なソースを指定します。

CSP バージョン	3
ディレクティブ種別	フェッチディレクティブ
代替	このディレクティブがない場合、ユーザーエージェントはワーカーの実行を制御するとき、まず`child-src` ディレクティブを探し、次に`script-src` ディレクティブ、そして最後に`default-src` ディレクティブを探します。

構文

http

Content-Security-Policy: worker-src 'none';Content-Security-Policy: worker-src <source-expression-list>;

ソース

このディレクティブは、次のいずれかの値を指定することができます。

'none'

この種類のリソースは読み込まれません。単一引用符は必須です。

<source-expression-list>

ソース表現の値を空白で区切ったリストです。この種類のリソースは、指定されたソース表現のいずれかと一致した場合に読み込まれます。このディレクティブでは、以下のソース表現の値が適用できます。

例

違反の場合

この CSP ヘッダーが与えられている時、

http

Content-Security-Policy: worker-src https://example.com/

Worker,SharedWorker,ServiceWorker はブロックされ、読み込まれません。

html

<script>  let blockedWorker = new Worker("data:application/javascript,…");  blockedWorker = new SharedWorker("https://not-example.com/");  navigator.serviceWorker.register("https://not-example.com/sw.js");</script>