HTML中的链接是否有同源策略？

Question

这可能听起来很奇怪，但让我解释一下：

我想创建一个 HTML 页面，其中包含 来自同一个域的内容和链接， 像图像等。我希望它还包括（有点受信任的）外部（第 3 方） JavaScript，如 Bootstrap、jQuery 等，我从 CDN 链接。

现在我想确保这些其他库在任何情况下都不会创建指向我源域上的其他资源的可点击链接（或执行 XHR 请求）。因此，无论用户在此页面上做什么，请求都只会发送到我的域，而不会发送到其他地方，因此强制链接只发送到与提供原始文件相同的源域上的目标。

• 这听起来合理吗？
• 如果我主持这些（有点 受信任的）我的域上的第 3 方库？

Answer 1

您正在寻找Content-Security-Policy，它可以阻止除<a href> 之外的所有内容。

对于链接，您可以使用MutationObserver 来查看所有链接并引发错误或删除无效链接，您可以覆盖window.open() 以针对无效网址引发错误。