[60] [DFN[[RUBYB[砂箱化]@en[sandboxing]]]]は、 [[スクリプト]]等により可能な操作を制限するものです。 [CODE(HTMLe)@en[[[iframe]]]] [[要素]]の [DFN[[CODE(HTMLa)@en[[[sandbox]]]]]] [[属性]]は、[[入れ子閲覧文脈]]の[[砂箱化]]を指示するものです。 [[CSP]] の [DFN[[CODE(HTTP)@en[[[sandbox]]]]]] [[指令]]は、 [[資源]]の[[砂箱化]]を指示するものです。 [40] [[UGC]] や外部提供の[[広告]]など、主たるページの[[著者]]が完全には制御できない内容を埋め込みたい時に、 埋め込まれる内容の[[著者]]が利用できる機能を制限するために使うことができます。 * 仕様書 [REFS[ - [31] '''[CITE@en-GB-x-hixie[HTML Standard]] ([TIME[2015-05-06 10:42:35 +09:00]] 版) ''' - [59] [CITE@en-GB-x-hixie[HTML Standard]] ([TIME[2015-05-06 10:42:35 +09:00]] 版) - [48] [CITE@en[Content Security Policy]] ([TIME[2015-07-16 16:42:52 +09:00]] 版) - [57] [CITE@en[Content Security Policy]] ([TIME[2015-07-16 16:42:52 +09:00]] 版) ]REFS] * 意味 [32] [CODE(HTMLa)@en[[[sandbox]]]] [[属性]]は、 [CODE(HTMLe)@en[[[iframe]]]] [[要素]]の中の[[内容]]に追加の制限を加えるものです [SRC[>>31]]。 [36] 本[[属性]]が指定されていると、色々な制限が適用されます。 [[属性]]に値を指定することで、その制限の一部を緩和できます。 ;; [37] なお、すべての値を指定しても、すべての制限を緩和できるわけではありません ([[属性]]を指定しない状態になるわけではありません)。 [38] 本[[属性]]の指定は、 [[navigate]] 時に適用されます。変更したり削除したりしても、 直ちに適用されるのではなく、次の [[navigate]] より適用されます。 [50] [[CSP]] の [CODE(HTTP)@en[[[sandbox]]]] [[指令]]は、保護対象[[資源]]に適用するべき制限を指定するものです [SRC[>>48]]。 [[CSP]] では[[閲覧文脈]]ではなく、[[閲覧文脈]]内の[[文書]]単位で制限を適用します。 [[最上位閲覧文脈]]でも使うことができます。 [73] [[祖先]]すべての[[閲覧文脈]]を含めた [[HTML]] [CODE(HTMLa)@en[[[sandbox]]]] [[属性]]と [[CSP]] [CODE(HTTP)@en[[[sandbox]]]] [[指令]]の最も厳しい制限が適用されます。 * 属性名 [51] [CODE(HTMLe)@en[[[iframe]]]] [[要素]]の[[属性名]] [SRC[>>31]] も、 [[CSP]] の[[指令名]] [SRC[>>48]] も、 [CODE(HTML)@en[[[sandbox]]]] です。 * 属性値 [33] [CODE(HTMLe)@en[[[iframe]]]] [CODE(HTMLa)@en[[[sandbox]]]] [[属性値]]は、[[unordered set of unique space-separated tokens]] でなければ[['''なりません''']] [SRC[>>31]]。 [52] [[CSP]] [CODE(HTTP)@en[[[sandbox]]]] [[指令]]の値は、 [[空文字列]]か、1つ[[以上]]の[[字句]]を1つ[[以上]]の [[WSP]] で区切った列のいずれかでなければ[['''なりません''']] [SRC[>>48]]。 ;; [53] 実質的に [[HTML]] も [[HTTP]] も同じ構文ですが、[[空白]]や[[文字参照]]の扱いはそれぞれの通常の規定に準じています。 [34] 各値は、認められた値のいずれかでなければなりません。 [[ASCII大文字・小文字不区別]]です [SRC[>>31]]。 [49] [[HTML Standard]] では、認められる値がすべて規定されているため、 一般的な構文は規定されていません。 [[CSP]] では、[[HTTP]] の[[字句]]であると構文を規定し [SRC[>>48]]、 [[HTML]] で認められる値を使わなければ[MUST[ならない]] [SRC[>>48]] と規定していますが、 [[HTML]] と違って同じ値の重複は禁止されていないようです。 * 砂箱化フラグ集合 [61] [[砂箱化]]は、仕様書上はいくつかのフラグの集合として表されており、 これを[DFN[[RUBYB[[[砂箱化フラグ集合]]]@en[sandboxing flag set]]]] [SRC[>>57]] といいます。 [62] [[砂箱化]]の指定がない場合、[[砂箱化フラグ集合]]は空とされ、 [[砂箱化]]はまったく行われません。 [63] [CODE(HTMLa)@en[[[sandbox]]]] [[属性]] [SRC[>>31]] や [CODE(HTTP)@en[[[sandbox]]]] [[指令]] [SRC[>>48]] などで[[砂箱化]]が指示されている場合、 [DFN[[[parse a sandboxing directive]]]] [SRC[>>31]] 操作により新たな[[砂箱化フラグ集合]]が作られます。 この操作では、明示的に除外することが指定されたフラグを除いたすべての[[砂箱化]]のフラグが設定されます。 ;; この操作では、指定された[[キーワード]]や、別途与えられた [[allow fullscreen flag]] により、[[砂箱化]]のフラグを設定します。詳しくは次表を参照。 [64] [[属性値]] [SRC[>>31]] や[[指令値]] [SRC[>>48]] は、 [[間隔で分割]]しなければ[['''なりません''']]。 その結果[[キーワード]]が含まれていれば、 次表の通り、フラグが設定されません。 ;; [65] [[属性値]]の定義より[[ASCII大文字・小文字不区別]]と思われますが、 処理方法の規定では明記されていません。 [35] 次のフラグがあります。 [FIG(table)[ :flag:フラグ :kwd:フラグを設定しない条件 :flag:[[sandboxed navigation browsing context flag]] :flag: [[sandboxed top-level navigation without user activation browsing context flag]] :kwd:[CODE(HTML)@en[allow-top-navigation]] [[キーワード]]が指定された時 :flag: [[sandboxed top-level navigation with user activation browsing context flag]] :kwd: [CODE(HTML)@en[allow-top-navigation]] [[キーワード]]または [CODE(HTML)@en[allow-top-navigation-by-user-activation]] [[キーワード]]が指定された時 :flag:[[sandboxed plugins browsing context flag]] :flag:[[sandboxed auxiliary navigation browsing context flag]] :kwd:[CODE(HTML)@en[[[allow-popups]]]] [[キーワード]]が指定された時 :flag:[[sandboxed origin browsing context flag]] :kwd:[CODE(HTML)@en[[[allow-same-origin]]]] [[キーワード]]が指定された時 :flag:[[sandboxed forms browsing context flag]] :kwd:[CODE(HTML)@en[[[allow-forms]]]] [[キーワード]]が指定された時 :flag:[[sandboxed pointer lock browsing context flag]] :kwd:[CODE(HTML)@en[[[allow-pointer-lock]]]] [[キーワード]]が指定された時 :flag:[[sandboxed scripts browsing context flag]] :kwd:[CODE(HTML)@en[[[allow-scripts]]]] [[キーワード]]が指定された時 :flag:[[sandboxed automatic features browsing context flag]] :kwd:[CODE(HTML)@en[[[allow-scripts]]]] [[キーワード]]が指定された時 :flag:[[sandboxed [CODE(JS)@en[document.domain]] browsing context flag]] :flag:[[sandbox propagates to auxiliary browsing contexts flag]] :kwd:[CODE(HTML)@en[[[allow-popups-to-escape-sandbox]]]] [[キーワード]]が指定された時 :flag:[[sandboxed modals flag]] :kwd:[CODE(HTML)@en[[[allow-modals]]]] [[キーワード]]が指定された時 :flag: [[sandboxed orientation lock browsing context flag]] :kwd: [CODE(HTML)@en[allow-orientation-lock]] [[キーワード]]が指定された時 :flag: [[sandboxed presentation browsing context flag]] :kwd: [CODE(HTML)@en[allow-presentation]] [[キーワード]]が指定された時 ]FIG] [HISTORY[ [84] かつては他に [FIG(table)[ :flag:フラグ :kwd:フラグを設定しない条件 :flag: [F[sandboxed seamless iframes flag]] :flag:[[sandboxed fullscreen browsing context flag]] :kwd:[F[allow fullscreen flag]] が指定された時 :flag: [[砂箱化利用者媒体閲覧文脈フラグ]] :kwd: [F[allow user media flag]] が指定された時 :flag:[[sandboxed storage area URLs flag]] ]FIG] ... がありましたが、廃止されました。 ]HISTORY] [66] [[砂箱化フラグ集合]]は、次の4箇所で使われています。 [FIG(table)[ :name:名称 :context:所属 :populated:設定される場面 :name:[DFN[[RUBYB[ポップアップ砂箱化フラグ集合]@en[[[popup sandboxing flag set]]]]]] :context:[[最上位閲覧文脈]] :populated:[[rules for choosing a browsing context given a browsing context name]] :name:[DFN[[[[CODE(HTMLe)@en[iframe]] sandboxing flag set]]]] :context: [[要素]]の[F[入れ子閲覧文脈]] :populated:>>40, >>41, >>42 :name:[DFN[[RUBYB[[[活性砂箱化フラグ集合]]]@en[[[active sandboxing flag set]]]]]] :context:[[文書]] :populated:[[砂箱化を実装]] (>>67) :name:[DFN[[[forced sandboxing flag set]]]] :context:[[navigate]] の[[資源]] ([[応答]]) :populated:[[CSP]] の [[enforce]] ]FIG] [76] [[文書]]の色々な処理で実際に参照されるのは、このうちの [[active sandboxing flag set]] です。それ以外は、[[砂箱化の実装]]で [[active sandboxing flag set]] を決定するための入力として使われます。 [116] [[活性砂箱化フラグ群を決定]]する[[手順群]]では、 [RUBYB[[[合同]]][union]]演算が行われます。 * 処理 [99] [CODE(HTMLa)@en[sandbox]] [[属性]]は、[[入れ子閲覧文脈]]の[[閲覧文脈の作成]]が行われる際や、 [[属性変更手順群]]が呼び出された際に、処理されます。 ;; [CODE(HTMLe)@en[iframe]] 参照。 [54] [[CSP]] [CODE(HTTP)@en[[[sandbox]]]] [[指令]]は、 [[monitoring]] の場合 ([CODE(HTTP)@en[[[Content-Securiry-Policy-Report-Only]]]]) や [CODE(HTMLe)@en[[[meta]]]] [[要素]]の場合、無視されます [SRC[>>48]]。 [55] それ以外の場合、 [[enforce]] 時に[[指令]]の値を [[parse a sandboxing directive]] し、結果を保護対象[[資源]]の [[forced sandboxing flag set]] としなければ[['''なりません''']] [SRC[>>48]]。 [58] [CODE(HTTP)@en[[[frame-ancestor]]]] [[指令]]の制限対象となる場合には、 [[空文字列]]が指定された場合と同様に [[parse a sandboxing directive]] し、結果を保護対象[[資源]]の [[forced sandboxing flag set]] としなければ[['''なりません''']] [SRC[>>57]]。 ;; [74] [[CSP]] の処理は、 [[navigate]] から間接的に呼び出されます。 -*-*- [67] [[閲覧文脈]][VAR[[[閲覧文脈]]]][DEL[と[VAR[navigateする資源]]]]について[DFN[[RUBYB[[RUBY[砂][すな]][RUBY[箱][ばこ]][RUBY[化][か]]フラグ[RUBY[群][ぐん]]を[RUBY[決][けっ]][RUBY[定][てい]]][determine sandboxing flags]]]]するには、 次のようにします。 [SRC[>>31]] [FIG(steps)[ = [114] [VAR[砂箱化フラグ集合]]を、 次の各[[砂箱化フラグ集合]]に含まれるフラグの[[合同]]に設定します。 -- [68] [VAR[閲覧文脈]]の[F[[[最上位閲覧文脈]]である]]が[[真]]の場合、 --- [96] [VAR[閲覧文脈]]の [[popup sandboxing flag set]] -- [69] [VAR[閲覧文脈]]の[F[[[子供閲覧文脈]]である]]が[[真]]の場合、 --- [97] [VAR[閲覧文脈]]の [F[[[[CODE(HTMLe)@en[iframe]] sandboxing flag set]]]] --- [70] [VAR[閲覧文脈]]の[F[親閲覧文脈]]の[F[活性文書]]の[F[活性砂箱化フラグ集合]] -- [71] [DEL[[VAR[navigateする資源]]が [CODE[null]] で''ない''場合、]] --- [115] [DEL[[VAR[navigateする資源]]の[F[forced sandboxing flag set]]]] = [95] [VAR[砂箱化フラグ集合]]を返します。 ]FIG] ;; [72] [[親閲覧文脈]]と[[同じ起源]]でない場合、ほんの数ビット分ですが、 [[起源]]を超えて情報が「漏れる」ことになります。 [111] [[新しい閲覧文脈の作成]]や [[navigate]] から呼び出されます。 [120] この処理は、 [CODE[iframe]] の [CODE[sandbox]] [[属性]]など、 適用対象となる [CODE[sandbox]] の指定をすべて掛け合わせた結果を取得するものです。 フラグの[[合同]]ですから、すべての制限が適用されたもっとも厳しい制約となります。 [HISTORY[ [118] [TIME[令和元(2019)年][2019]]の [CITE[HTML Standard]] 改定以前は、 [DFN[[RUBYB[[RUBY[活][かっ]][RUBY[性][せい]][RUBY[砂][すな]][RUBY[箱][ばこ]][RUBY[化][か]]フラグ[RUBY[群][ぐん]]を[RUBY[決][けっ]][RUBY[定][てい]]][determine active sandboxing flags]]]]と呼ばれていました。 [SRC[>>117]] [119] 変更以後 [F[forced sandboxing flag set]] は [[navigate]] の[[文書オブジェクトの作成と初期化]]で後から[[合同]]される形に変更されました。 (仕様の厳密性の向上のための改定であり、意図した挙動は変わっていません。) ]HISTORY] [56] [[navigate]] ではなく [[run a Worker]] 時に [[enforce]] される場合は、 [CODE(HTTP)@en[[[sandbox]]]] [[指令]]が指定され [CODE(HTTP)@en[[[allow-scripts]]]] が指定されていない時や、 [CODE(HTTP)@en[[[sandbox]]]] [[指令]]が指定され [CODE(HTTP)@en[[[allow-same-origin]]]] が指定されておらず新しい実行文脈が[[同じ起源]]であることを求めている時には、 [[ネットワークエラー]]が返されたものとして扱わなければ[['''なりません''']] [SRC[>>48]]。 ;; [75] [CODE(HTMLe)@en[[[script]]]] や [CODE(DOMm)@en[[[importScripts]]]] で既存の実行文脈内で[[スクリプト]]を読み込むときには、この処理は行われません。 [HISTORY[ [113] [TIME[令和元(2019)年][2019]]の改訂以前は、 [VAR[[[文書]]]]の[DFN[[RUBYB[[[砂箱化の実装]]]@en[implement the sandboxing]]]]の[[手順群]]として[[規定]]されていました。 ]HISTORY] * サーバー [39] 危険かもしれないファイルを [CODE(HTMLe)@en[[[iframe]]]] の[[文書]]と同じ[[サーバー]]から提供する[['''べきではありません''']]。 直接アクセスさせられると、 [CODE(HTMLa)@en[[[sandbox]]]] を回避してファイルが処理されてしまうからです。 被害を抑えるため、異なる[[ドメイン]]に分けて提供する[['''べきです''']]。 [SRC[>>31]] ;; [77] [[CSP]] の [CODE(HTTP)@en[[[sandbox]]]] [[指令]]により危険性を緩和できるかもしれませんが、 異なる[[ドメイン]]に置く方がより安全と思われます。 * 利用者インターフェイス [78] [[Webブラウザー]]によっては、[[入れ子閲覧文脈]]の[[文書]]を[[最上位閲覧文脈]]で開く[[メニュー]]等の指示機能を[[利用者]]に提供しているかもしれません。 [[利用者]]は[[砂箱化]]されているものを、そうと気づかずに通常の[[閲覧文脈]]で開いてしまうかもしれず、 注意が必要です。 [[popup sandboxing flag set]] を活用するなど配慮が必要かもしれません。 * [CODE(DOMi)@en[HTMLIFrameElement]] インターフェイス [CODE(DOMa)@en[sandbox]] 属性 [43] [CODE(DOMi)@en[[[HTMLIFrameElement]]]] [[インターフェイス]]の [DFN[[CODE(DOMa)@en[[[sandbox]]]]]] [[IDL属性]]は、 [CODE(HTMLa)@en[[[sandbox]]]] [[内容属性]]を[[反映]]しなければ[['''なりません''']] [SRC[>>31]]。 [44] [[取得器]]は、 [CODE(DOMi)@en[[[DOMSettableTokenList]]]] として[[反映]]します [SRC[>>31]]。 [45] [[設定器]]は、 [CODE(DOMa)@en[[[value]]]] [[IDL属性]]に [CODE(IDL)@en[[[PutForwards]]]] されます [SRC[>>31]]。 * 関連 [41] [[CSP]] の他の機能も更なる安全性の確保に有用かもしれません。 [42] 単一の[[文書]]の一部の内容のみを[[砂箱化]]することはできません。しかし [CODE(HTMLe)@en[iframe]] [[要素]]の [CODE(HTMLa)@en[srcdoc]] [[属性]]と併用すれば、そのような効果が得られます。 * 歴史 -[125] [CITE['''['''whatwg''']''' The ]FIG] [93] [CITE@en[Use fullscreen logic for initial about:blank documents too]] ( ([[annevk]]著, [TIME[2016-06-09 21:47:29 +09:00]])) [94] [CITE@en[Integrate allowusermedia]] ([[domenic]]著, [TIME[2016-05-07 03:46:31 +09:00]]) [101] [CITE@en[Make allowfullscreen and allowusermedia match implementations]] ([[annevk]]著, [TIME[2016-07-07 04:47:42 +09:00]]) [98] [CITE@en[Be more precise about nested and discarded browsing contexts]] ([[domenic]]著, [TIME[2016-07-20 22:58:49 +09:00]]) [46] [CITE@en[Tweak '''['''CEReactions''']''' definition and usage]] ([[domenic]]著, [TIME[2017-02-22 06:11:13 +09:00]]) [47] [CITE@en[Add allow-top-navigation-by-user-activation sandbox token]] ([[domenic]]著, [TIME[2017-02-24 04:51:48 +09:00]]) [100] [CITE@en[Remove ]] ([[zcorpan]]著, [TIME[2017-08-21 22:19:30 +09:00]]) [102] [CITE@en[28563 – As in most cases the http-equiv meta tags are equivalent to their corresponding HTTP header, would i '''['''...''']''']] ([TIME[2017-08-29 00:23:56 +09:00]]) [103] [CITE@en[Define the HTTP Refresh header by annevk · Pull Request #2892 · whatwg/html]] ([TIME[2017-08-29 00:24:48 +09:00]]) [104] [CITE@en[ should do nothing if document is cookie averse · Issue #1950 · whatwg/html]] ([TIME[2018-05-02 13:19:06 +09:00]]) [105] [CITE@en[What is the "sandboxed storage area URLs flag"? · Issue #3862 · whatwg/html]] ([TIME[2018-08-15 13:39:30 +09:00]]) [106] [CITE@en[Editorial: remove sandboxed storage area URLs flag]] ([[annevk]]著, [TIME[2019-02-23 01:53:39 +09:00]]) [107] [CITE@en[What is the "sandboxed storage area URLs flag"? · Issue #3862 · whatwg/html]] ([TIME[2019-07-15 20:31:59 +09:00]]) [108] [CITE@en[Remove "filesystem" URL scheme · Issue #846 · whatwg/fetch]] ([TIME[2019-07-15 20:32:37 +09:00]]) [109] [CITE@en[Editorial: remove sandboxed storage area URLs flag by annevk · Pull Request #4388 · whatwg/html]] ([TIME[2019-07-15 20:32:52 +09:00]]) [110] [CITE@en[Refactor the navigation algorithm]] ([[dtapuska]], [TIME[2019-07-12 00:49:55 +09:00]], [TIME[2021-07-01T09:41:47.000Z]]) [112] [CITE@en[Refactor navigation algorithm. by dtapuska · Pull Request #4664 · whatwg/html]] ([TIME[2021-07-02T08:22:35.000Z]]) [117] [CITE@en[Snapshot sandbox at the start of navigation]] ([[clelland]], [TIME[2019-11-26 01:42:48 +09:00]], [TIME[2022-01-14T09:47:31.000Z]]) [121] [CITE@en[Possible race in feature policy in multiprocess implementations · Issue #256 · w3c/webappsec-permissions-policy]] ([TIME[2022-01-14T10:33:16.000Z]]) [122] [CITE@en[Snapshot sandbox at start of navigation. by clelland · Pull Request #5098 · whatwg/html]] ([TIME[2022-01-14T10:33:36.000Z]]) [123] [CITE@en[Editorial: nested browsing context is a member, not a type]] ([[annevk]], [TIME[2019-11-27 02:46:03 +09:00]], [TIME[2022-01-18T09:40:05.000Z]]) [124] [CITE@en[Revamp the user activation model]] ([[mustaqahmed]], [TIME[2019-12-05 04:09:23 +09:00]], [TIME[2022-01-25T07:54:20.000Z]])