CSP: form-action

HTTP Content-Security-Policy（CSP）form-action指令限制可以用作来自给定上下文的表单提交的目标的URL。

CSP版本	2
指令类型	导航指令
default-src fallback	不可以。

句法

可以为该form-action政策设置一个或多个来源：

Content-Security-Policy: form-action <source>;
Content-Security-Policy: form-action <source> <source>;

来源

<source>可以是以下之一：

通过名称或IP地址的<host-source> Internet主机，以及可选的URL方案and/or端口号。该站点的地址可能包含一个可选的前导通配符（星号字符'*'），并且可以使用通配符（再次'*'）作为端口号，表示所有合法端口对于源都有效。

示例：

http://*.example.com：匹配使用http:URL方案从example.com的任何子域加载的所有尝试。

<scheme-source>一种模式，如'http:'或'https:'。冒号是必需的，不应使用单引号。您也可以指定数据模式（不推荐）。

data:允许将data:URI用作内容源。这是不安全的; 攻击者也可以注入任意数据：URI。谨慎使用这一点，绝对不适用于脚本。

'self'指受保护文档的来源，包括相同的URL方案和端口号。你必须包括单引号。一些浏览器特别排除blob和filesystem从源指令。需要允许这些内容类型的网站可以使用Data属性来指定它们。

示例

元标签配置

<meta http-equiv="Content-Security-Policy" content="form-action 'none'">

Apache配置

<IfModule mod_headers.c> 
Header set Content-Security-Policy "form-action 'none';
</IfModule>

Nginx配置

add_header Content-Security-Policy "form-action 'none';"

违规示例

使用<form>设置为嵌入JavaScript的操作的元素将导致违反CSP。

<meta http-equiv="Content-Security-Policy" content="form-action 'none'">

<form action="javascript:alert('Foo')" id="form1" method="post"> 
  <input type="text" name="fieldName" value="fieldValue"> 
  <input type="submit" id="submit" value="submit"> 
</form>

// Error: Refused to send form data because it violates the following 
// Content Security Policy directive: "form-action 'none'".

规格

规范	状态	评论
内容安全策略级别3该规范中“表单行为”的定义。	编辑草稿	没有变化。
内容安全策略级别2该规范中'表单行为'的定义。	建议	初始定义。

浏览器兼容性

特征	Chrome	Firefox	Edge	Internet Explorer	Opera	Safari
基本支持	40	36.0	(No)	(No)	27	10

特征	Android	Chrome for Android	Edge mobile	Firefox for Android	IE mobile	Opera Android	iOS Safari
基本支持	?	(Yes)	(No)	36.0	(No)	?	9.3