警告:从版本 57 开始,Chrome 将不再允许在沙盒化网页中使用外部 Web 内容(包括嵌入式框架和脚本)。请改用webview。
定义要在沙盒化的唯一来源中提供的应用或扩展程序页面的集合,并可选择与这些页面搭配使用的内容安全政策。位于沙盒中有两个影响:
- 沙盒化页面将无权访问扩展程序或应用 API,也无权访问非沙盒化页面(可通过
postMessage()
与其通信)。 沙盒化页面不受应用或扩展程序的其余部分使用的内容安全政策 (CSP) 的约束(它有自己的单独的 CSP 值)。例如,这意味着它可以使用内嵌脚本和
eval
。例如,以下代码段展示了如何指定在采用自定义 CSP 的沙盒中提供两个扩展程序页面:
{ ... "sandbox": { "pages": [ "page1.html", "directory/page2.html" ] // content_security_policy is optional. "content_security_policy": "sandbox allow-scripts; script-src 'self'" ], ... }
如果未指定,则默认的
content_security_policy
值为sandbox allow-scripts allow-forms allow-popups allow-modals; script-src 'self' 'unsafe-inline' 'unsafe-eval'; child-src 'self';
。您可以指定 CSP 值以进一步限制沙盒,但 CSP 值必须包含sandbox
指令,且不可包含allow-same-origin
令牌(如需了解可能的沙盒令牌,请参阅 HTML5 规范)。此外,您指定的 CSP 可能不允许在沙盒化页面中加载外部 Web 内容。
请注意,您只需列出预期会在窗口或框架中加载的页面。沙盒化页面使用的资源(例如样式表或 JavaScript 源文件)不需要显示在 sandboxed_page
列表中,它们将使用嵌入这些资源的网页的沙盒。
“在 Chrome 扩展程序中使用 eval。安全。”详细介绍了如何实现沙盒工作流程,以便使用在根据扩展程序的默认内容安全政策执行时出现问题的库。
只有在使用 manifest_version
2 或更高版本时,才能指定沙盒化页面。