content_security_policy

"content_security_policy": "default-src 'self'"

Политика защиты содержимого применяется к расширениям автоматически. Изначальная политика защиты содержимого ограничивает источники, из которых расширение может загружать <script> и <object> (en-US) ресурсы, а так же препятствует потенциально опасным практикам, например использованию eval(). Смотрите изначальные правила защиты содержимого, чтобы узнать о конкретных последствиях применения изначальных правил.

Ключ "content_security_policy" в manifest.json используется для ослабления или ужесточения политики защиты содержимого. Значения для этого ключа устанавливаются в точно таком же виде, как и для Content-Security-Policy HTTP заголовка. Смотрите Использование политики содержимого для получения общего представления о синтаксисе для написания правил политики.

Примеры использования ключа могут включать в себя:

• Разрешение на загрузку не запакованных в расширение скриптов и объектов, предоставляя их URL в script-src (en-US) и object-src (en-US) директивах.
• Разрешение на выполнение встраиваемых скриптов, предоставляя hash скрипта в "script-src" директиве (en-US).
• Разрешение на использование eval() и похожих функций, добавляя 'unsafe-eval' в script-src (en-US) директиву.
• Ограничение допускаемых источников загрузки для других видов контента, например картинок или файлов стилей, используя соответствующие директивы (en-US).

При написании правил по защите содержимого, вы имеете некоторые ограничения:

• Правило должно включать в себя script-src (en-US) и object-src (en-US) директивы, и script-src (en-US) директива должна включать ключевое слово 'self'.
• Удалённые источники должны иметь https: схему.
• Удалённые источники не должны определяться через универсальный символ * со следующим за ним доменным публичным суффиксом (например "*.co.uk" и "*.blogspot.com" являются не разрешёнными значениями, но "*.foo.blogspot.com" разрешёно).
• У всех источников должен быть определён хост.
• Единственные позволенные схемы источников: blob:, filesystem:, moz-extension: и https:.
• Единственные позволенные ключевые слова (en-US): 'none', 'self' и 'unsafe-eval'.