Установить значение по умолчанию для HTTP-заголовка Feature-Policy

Question

Для заголовка HTTP Feature-Policy вы можете установить функции, указанные в https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Feature-Policy индивидуально. Но как я могу установить значение по умолчанию?

Вы можете сделать это для Content-Security-Policy, установив default-src, есть ли эквивалент для Feature-Policy?

Это было бы более удобно, чем индивидуальная настройка каждой из многочисленных функций, особенно потому, что вам придется обновлять этот список по мере добавления новых функций.

Answer 1

Активно обсуждается этот вопрос здесь:

https://github.com/w3c/webappsec-feature-policy/issues/189

Подводя итог потоку github, основная проблема с политикой default заключается в том, что вы можете использовать функцию, которая впоследствии становится предметом политики. После этого ваш веб-сайт сломается, и в результате поставщики браузеров либо не отправят новую функцию, либо не захотят ставить ее в соответствие с политикой, а политика функций как концепция окажется мертвой в воде.

Существует несколько возможных решений:

• Заставьте default отнести не только ко всем существующим политикам, но и ко всему , которое может быть предметом политики, благодаря невероятно широкой сети. Это отключит практически все DOM, браузер и сетевые API. Но вполне вероятно, что вы захотите использовать некоторые из этих вещей, делая директиву довольно бесполезной.
• Не реализуйте default, но добавьте некоторые неизменные «связки» политик. Когда вы принимаете пакет, вы знаете, что он содержит, и это не изменится, но по мере введения новых политик мы можем создавать новые более крупные, более ограниченные пакеты, не нарушая сайтов, которые приняли предыдущие пакеты. Это мое предложение