CSP: plugin-types

HTTP Content-Security-Policy（CSP）plugin-types指令通过限制可以加载的资源类型来限制可以嵌入到文档中的插件集。

一个实例<embed>，<object>或<applet>元素会失败，如果：

• 要加载的元素不会声明有效的MIME类型，

• 声明的类型与plugin-types指令中的指定类型之一不匹配，

• 获取的资源与声明的类型不匹配。

句法

可以为plugin-types策略设置一个或多个MIME类型：

Content-Security-Policy: plugin-types <type>/<subtype>;Content-Security-Policy: plugin-types <type>/<subtype> <type>/<subtype>;

<type>/<subtype>有效的MIME类型。

示例

禁止插件

要禁止所有插件，object-src应将该指令设置为'none'禁止插件。plugin-types指令仅用于完全允许插件的object-src情况。

<meta http-equiv="Content-Security-Policy" content="object-src 'none'">

允许Flash内容

内容安全策略

Content-Security-Policy: plugin-types application/x-shockwave-flash

将允许加载Flash对象：

<object data="https://example.com/flash" type="application/x-shockwave-flash"></object>

允许Java小程序

加载<applet>你必须指定application/x-java-applet：

Content-Security-Policy: plugin-types application/x-java-applet

规范

浏览器兼容性