CSP: object-src
HTTP の Content-Security-Policy の object-src ディレクティブは、 <object>, <embed>, <applet> の各要素の妥当なソースを指定します。
<object>, <embed>, <applet> の各要素の許可される種類を設定するには、 plugin-types ディレクティブを使用してください。
メモ: object-src で制御される要素は、おそらく偶然にも古い HTML 要素と見なされており、新しい標準機能が搭載されていません（<iframe> の sandbox や allow などのセキュリティ属性など）。したがって、このフェッチディレクティブで制限することを推奨します （例えば、可能であれば明示的に object-src 'none' を設定するなど）。
| CSP バージョン | 1 |
|---|---|
| ディレクティブ種別 | フェッチディレクティブ |
default-src による代替 |
あり。このディレクティブがない場合、ユーザーエージェントは default-src ディレクティブを探します。 |
構文
object-src ポリシーには、 1 つまたは複数のソースが許可されています。
http
Content-Security-Policy: object-src <source>;
Content-Security-Policy: object-src <source> <source>;
ソース
<source> は、 CSP ソース値にあるいずれかの値を取ることができます。
なお、この同じ値のセットはすべてのフェッチディレクティブ（と 他の多くのディレクティブ）で使用できます。
例
違反の場合
この CSP ヘッダーがある場合、
http
Content-Security-Policy: object-src https://example.com/
以下の <object>, <embed>, <applet> の各要素はブロックされ、読み込まれません。
html
<embed src="https://not-example.com/flash"></embed>
<object data="https://not-example.com/plugin"></object>
<applet archive="https://not-example.com/java"></applet>
仕様書
| Specification |
|---|
| Content Security Policy Level 3 # directive-object-src |
ブラウザーの互換性
BCD tables only load in the browser