从主文档中豁免iframe's CSP沙盒

Exempt iframes from the main document's CSP sandbox

本文关键字：CSP 沙盒 iframe 文档      更新时间：2023-09-26

是否可以将iframe从其父级的CSP沙箱中豁免（当父级使用Content-Security-Policy标头启用其CSP沙箱时）？

我见过https://lists.w3.org/Archives/Public/public-webappsec/2013Jan/0027.html，但这似乎不是真的。至少不再。

我尝试过，因为没有其他想法，通过使用更自由的CSP头为iframed文档提供服务来覆盖父母的CSP头，但这没有任何区别。

iframed文档继承其父级的CSP时，这种行为是否在任何地方都有文档记录（即W3C）？

在这里给你一些背景知识：这个想法是对主文档进行沙盒处理，但通过受信任的未沙盒iframe允许一些自定义权限（不受信任的主页面将使用postMessage告诉受信任的iframe代表它做某些事情）。

是的，这是可能的，但正如谷歌在提到这个主题的帖子中所说："这是一种权衡：沙盒页面不能使用API。如果你需要做类似eval（）的事情，可以通过这条途径免除CSP，但你将无法使用很酷的新东西。下面是一个例子：

<html>
  <body>
    <h1>Woot</h1>
    <script>
      eval('console.log(''I am an eval-ed inline script.'')');
    </script>
  </body>
</html>
相关文章：