Существует ли такая же политика происхождения для ссылок в HTML?

Question

Это может звучать странно, но позвольте мне объяснить:

Я хотел бы создать HTML-страницу, которая содержит контент и ссылки только на тот же домен, как изображения и т. Д. Я хочу, чтобы он также включал (несколько доверенный) внешний (сторонний) JavaScript как Bootstrap, jQuery и т. д., которые я связываю с CDN.

Теперь я хочу убедиться, что эти другие библиотеки ни при каких обстоятельствах никогда не создают кликабельных ссылок (или запросов XHR) на другие ресурсы, кроме тех, которые находятся в моем исходном домене. Поэтому, что бы пользователь ни делал на этой странице, запросы будут отправляться только на мой домен, а не куда-либо еще, таким образом заставляет ссылки переходить только к целям в том же домене происхождения, что и исходный файл, полученный от .

• Это звучит разумно?
• Поможет ли мне, если я приму их доверенный) Сторонние библиотеки на моем домене?

Answer 1

Вы ищете Content-Security-Policy , которая может блокировать все, кроме <a href>.

Для ссылок вы можете использовать MutationObserver, чтобы просмотреть все ссылки и выдать ошибку или удалить недействительные ссылки, и вы можете переопределить window.open(), чтобы выдать ошибку для недействительных URL.