HTML中的链接是否有相同原产地政策？

Question

这听起来很奇怪，但让我解释一下：

我想创建一个HTML页面，该页面包含来自同一域的内容并仅链接到同一域，例如图像等。我希望它也包含（一定受信任的）外部（第三方）我从CDN链接的JavaScript，例如Bootstrap，jQuery等。

现在，我想确保这些其他库在任何情况下都不会在我的原始域中创建到其他资源的可点击链接（或执行XHR-Requests）。因此，无论用户在此页面上执行什么操作，请求都只会发送到我的域，而不会发送到其他任何地方，因此强制链接仅发送到与原始文件所来自的源域相同的目标。

• 听起来合理吗？
• 如果我托管这些服务（一定程度上会有所帮助） 受信任）我的域上的第三方库？

Answer 1

您正在寻找Content-Security-Policy，它可以阻止除<a href>以外的所有内容。

对于链接，您可以使用MutationObserver查看所有链接并抛出错误或删除无效的链接，并且可以覆盖window.open()以对无效的URL抛出错误。