Content Security Policyのconnect-srcディレクティブは、相互ドメイン要求を可能にしますか？

Question

コンテンツセキュリティポリシーでconnect-srcディレクティブを指定すると、ブラウザの同じ発信元ポリシーが緩和され、クロスオリジンXHR要求を行うことができますか？または、このディレクティブは、すでに有効なXHR（つまり、CORSによって有効化された同じ発信元コールまたはコール）を制限するためにのみ使用されますか？

Answer 1

connect-srcディレクティブは同じ起点ポリシーを緩和しません。ブラウザがすでに（CORSなどを介して）それらに接続することを許可していると仮定すると、接続できるソースのリストを指定するだけです。

一般に、コンテンツセキュリティポリシーは、作成者がページの機能を制限するために使用できるアノテーションです。新しい権限を付与するのではなく、削除するだけです。