接続許可リスト

注: '\' による行折り返しは RFC 8792 に従う

Connection-Allowlist: (response-origin "https://cdn.example" "https://*.example.:tld" \
                       "https://api.example:*"); report-to=ReportingAPIEndpoint

response (response) が与えられたとき、 parse a response’s Connection Allowlists するには、次を行う:

1. allowlists を空の list とする。

2. header を、response の header list から、 `Connection-Allowlist` という名前の structured field value を取得した結果とし、 それを list として扱う。

3. header、response の URL、および enforce が与えられたものとして、 Parse a Connection Allowlist header する。結果が null でない場合、それを allowlists に insert する。

4. header を、response の header list から、 `Connection-Allowlist-Report-Only` という名前の structured field value を取得した結果とし、 それを list として扱う。

5. header、response の URL、および report が与えられたものとして、 Parse a Connection Allowlist header する。結果が null でない場合、それを allowlists に insert する。

6. allowlists を返す。

structured header の list (list)、URL (response-url)、および disposition (disposition) が与えられたとき、 parse a Connection Allowlist header するには、次を行う:

1. list の size が 0 である場合、null を返す。

2. list[0] が inner list でない場合、null を返す。

3. allowlist を、その disposition が disposition である Connection Allowlist とする。

4. list[0] 内の各 item について For each:

   1. serialized pattern を null とする。

   2. item が token response-origin である場合:

      1. serialized pattern を、response-url の origin の ASCII serialization に設定する。

   3. item が string である場合、 serialized pattern を item に設定する。

   4. serialized pattern が null である場合、 continue する。

   5. URL pattern を、null を基底 URL として serialized pattern が与えられたものとして build a URL pattern from an HTTP structured field value を実行した結果とする。

      このステップがエラーを投げる場合、 continue する。

   6. URL pattern を allowlist の allowlist に Append する。

5. list[0] の parameters 内の各 key → value について For each:

   1. key が report-to であり、value が token である場合、allowlist の reporting endpoint を value に設定する。

   2. key が redirects であり、value が token である場合:

      1. value が "block" である場合、allowlist の redirects を block に設定する。

      2. それ以外の場合、allowlist の redirects を allow に設定する。

   3. key が webrtc であり、 value が token である場合:

      1. value が "block" である場合、allowlist の webrtc を block に設定する。

      2. それ以外の場合、allowlist の webrtc を allow に設定する。

6. allowlist を返す。

注: 構文解析アルゴリズムでは、 無効な入力をすべて飛ばしている。もっと厳格な構文解析を行うことも十分あり得るが、 それは将来の柔軟性を制限する可能性が高い。

URL (url) と connection allowlist (connection allowlist) が与えられたとき、 match a URL to a Connection Allowlist するには、 次のステップを実行する。これは success または failure を返す。

1. url が is local である場合、success を返す。

2. connection allowlist の allowlist 内の各 pattern について For each:

   1. pattern と url が与えられたものとして URL pattern matching が null を返さない場合、success を返す。

3. failure を返す。

host (host) と connection allowlist (connection allowlist) が与えられたとき、 match a host to a Connection Allowlist するには、 次のステップを実行する。これは success または failure を返す。

1. connection allowlist の allowlist 内の各 pattern について For each:

   1. input を新しい URLPatternInit dictionary とし、その hostname を pattern の hostname component に設定する。

   2. host-only pattern を、 input、基底 URL としての null、および options としての空の map が与えられたものとして creating a URL pattern した結果とする。

   3. synthetic url を、 "https://" と host を連結したものを URL として parsing した結果とする。

   4. host-only pattern と synthetic url が与えられたものとして URL pattern matching が null を返さない場合、success を返す。

2. failure を返す。

注: hostname component だけを持つ新しいパターンを作成し、 host 用の URL を合成することで、 任意のプロトコル、任意のポート、任意のパスなどでそのホストへのリクエストを許可し得るパターンが 許可リスト内に_少しでも_存在すれば、一致を返すことができる。

should url be blocked by Connection Allowlists アルゴリズムは、 URL (url)、environment (environment)、および connection allowlists (connection allowlists) の list を受け取り、 allowed または blocked のいずれかを返す:

1. connection allowlists 内の各 connection allowlist について For each:

   1. url が connection allowlist に matches する場合、 continue する。

   2. url、environment、および connection allowlist が与えられたものとして Report a violation する。

   3. connection allowlist の disposition が enforce である場合、 blocked を返す。

2. allowed を返す。

should request be blocked by Connection Allowlists アルゴリズムは、 request (request) を受け取り、allowed または blocked のいずれかを返す:

1. allowlists を、request の policy container の connection allowlists とする。

2. allowlists 内の各 allowlist について For each:

   1. request の URL list の size が 1 より大きい場合:

      1. allowlist の redirects が allow である場合、 continue する。

      2. request の url、request の client、および allowlist が 与えられたものとして Report a violation する。

         注: リダイレクトが ブロックされる場合、リダイレクト先について必要以上の情報を漏らすことを避けるため、 意図的に request の url を報告し、その current url は報告しない。

      3. allowlist の disposition が enforce である場合、 blocked を返す。

      4. Continue する。

   2. request の url が allowlist に matches する場合、 continue する。

   3. request の url、request の client、および allowlist が 与えられたものとして Report a violation する。

   4. allowlist の disposition が enforce である場合、 blocked を返す。

3. allowed を返す。

should host be blocked by Connection Allowlists アルゴリズムは、 host (host)、environment (environment)、および connection allowlists (connection allowlists) の list を受け取り、 allowed または blocked のいずれかを返す:

1. connection allowlists 内の各 connection allowlist について For each:

   1. host が connection allowlist に host-matches する場合、 continue する。

   2. host、environment、および connection allowlist が与えられたものとして Report a violation する。

   3. connection allowlist の disposition が enforce である場合、 blocked を返す。

2. allowed を返す。

should WebRTC be blocked by Connection Allowlists アルゴリズムは、 environment settings object (environment) を受け取り、 allowed または blocked のいずれかを返す:

1. allowlists を、environment の policy container の connection allowlists とする。

2. allowlists 内の各 allowlist について For each:

   1. allowlist の webrtc が allow である場合、 continue する。

   2. "webrtc"、environment、および allowlist が与えられたものとして Report a violation する。

   3. allowlist の disposition が enforce である場合、 blocked を返す。

3. allowed を返す。

enum ConnectionAllowlistDisposition { "enforce", "report" };

dictionary ConnectionAllowlistViolationReport : ReportBody {
  USVString url;
  USVString connection;
  sequence<DOMString> allowlist;
  ConnectionAllowlistDisposition disposition;
};

URL または string "webrtc" (resource URL)、environment (environment)、および connection allowlist (allowlist) が与えられたとき、 report a violation するには、次を行う:

1. allowlist の reporting endpoint が null である場合、返す。

2. violation を、新しい ConnectionAllowlistViolationReport とし、次のように初期化する:

url

environment の creation URL を、 stripped for use in reports したもの。

connection

resource URL が URL である場合、 resource URL を stripped for use in reports したもの。

それ以外の場合、resource URL。

allowlist

allowlist の allowlist 内の各パターンをシリアライズした結果を含む新しいリスト

disposition

allowlist の disposition。

3. environment をコンテキストとして、"connection-allowlist" を type として、allowlist の reporting endpoint を destination として、そして violation を data として与え、 Generate and queue a report する。

Main Fetch において、ステップ 7 を次のように調整する:

7. bad port により request がブロックされるべきか、mixed content として fetching request がブロックされるべきか、Content Security Policy により request がブロックされるべきか、 should request be blocked by Connection Allowlists、 または Integrity Policy Policy により request がブロックされるべきかが blocked を返す場合、response を network error に設定する。

resolve an origin では、上記のホスト専用照合アルゴリズムを呼び出し、 あるホストへの接続を何らかのパターンが潜在的に許可できるかどうかを判定する。 できない場合、解決を失敗させる。

1. should host be blocked by Connection Allowlists が、origin の host、environment、および allowlists に対して実行されたときに blocked を返す場合、 failure を返す。

obtain a connection では、現在のステップ 2 の前にチェックを追加する:

2. should url be blocked by Connection Allowlists が、url、environment、および allowlists に対して実行されたときに blocked を返す場合、 failure を返す。

6. response と result で Integrity-Policy ヘッダーを構文解析する。

7. result の connection allowlists を、 response が与えられたものとして parsing a response’s Connection Allowlists した結果に設定する。

8. result を返す。

4. should url be blocked by Connection Allowlists が、url、 this の relevant settings object、および this の relevant settings object の policy container の connection allowlists に対して実行されたときに blocked を返す場合、 "SecurityError" DOMException で拒否された promise を返す。

Connection-Allowlist: ("https://api.example")

Connection-Allowlist: ("https://api.example");redirects=allow

Connection-Allowlist: ("https://api.example");redirects=some-future-policy

Connection-Allowlist: ("https://api.example")

Connection-Allowlist: ("https://api.example"); webrtc=allow