연결 허용 목록

NOTE: '\' line wrapping per RFC 8792

Connection-Allowlist: (response-origin "https://cdn.example" "https://*.example.:tld" \
                       "https://api.example:*"); report-to=ReportingAPIEndpoint

response (response)가 주어졌을 때, 응답의 Connection Allowlists를 파싱하려면:

1. allowlists를 빈 list로 둡니다.

2. header를 response의 header list에서 `Connection-Allowlist`라는 이름의 list로서 구조화된 필드 값을 가져온 결과로 둡니다.

3. header, response의 URL, 그리고 enforce가 주어졌을 때 Connection Allowlist 헤더를 파싱합니다. 결과가 null이 아니면 이를 allowlists에 insert합니다.

4. header를 response의 header list에서 `Connection-Allowlist-Report-Only`라는 이름의 list로서 구조화된 필드 값을 가져온 결과로 둡니다.

5. header, response의 URL, 그리고 report가 주어졌을 때 Connection Allowlist 헤더를 파싱합니다. 결과가 null이 아니면 이를 allowlists에 insert합니다.

6. allowlists를 반환합니다.

structured header list (list), URL (response-url), 그리고 disposition (disposition)이 주어졌을 때 Connection Allowlist 헤더를 파싱하려면:

1. list의 size가 0이면 null을 반환합니다.

2. list[0]이 inner list가 아니면 null을 반환합니다.

3. allowlist를, 그 disposition이 disposition인 Connection Allowlist로 둡니다.

4. list[0]의 각 item에 대해 For each:

   1. serialized pattern을 null로 둡니다.

   2. item이 response-origin token인 경우:

      1. serialized pattern을 response-url의 origin의 ASCII 직렬화로 설정합니다.

   3. item이 string이면 serialized pattern을 item으로 설정합니다.

   4. serialized pattern이 null이면 continue합니다.

   5. URL pattern을, serialized pattern가 주어지고 null을 기본 URL로 사용하여 HTTP structured field value에서 URL pattern을 빌드한 결과로 둡니다.

      이 단계에서 오류가 발생하면 continue합니다.

   6. URL pattern을 allowlist의 allowlist에 Append합니다.

5. list[0]의 parameters 안의 각 key → value에 대해 For each:

   1. key가 report-to이고 value가 token이면, allowlist의 reporting endpoint를 value로 설정합니다.

   2. key가 redirects이고 value가 token이면:

      1. value가 "block"이면, allowlist의 redirects를 block으로 설정합니다.

      2. 그렇지 않으면, allowlist의 redirects를 allow로 설정합니다.

   3. key가 webrtc이고 value가 token이면:

      1. value가 "block"이면, allowlist의 webrtc를 block으로 설정합니다.

      2. 그렇지 않으면, allowlist의 webrtc를 allow로 설정합니다.

6. allowlist를 반환합니다.

참고: 파싱 알고리즘에서 잘못된 입력은 모두 건너뜁니다. 파싱을 더 엄격하게 할 수도 있겠지만, 그렇게 하면 향후 유연성이 제한될 가능성이 큽니다.

URL (url)과 connection allowlist (connection allowlist)가 주어졌을 때, URL을 Connection Allowlist에 매칭하려면 다음 단계를 실행합니다. 이 단계들은 success 또는 failure를 반환합니다.

1. url이 local이면 success를 반환합니다.

2. connection allowlist의 allowlist 안의 각 pattern에 대해 For each:

   1. pattern과 url이 주어졌을 때 URL pattern matching이 null을 반환하지 않으면, success를 반환합니다.

3. failure를 반환합니다.

host (host)와 connection allowlist (connection allowlist)가 주어졌을 때, host를 Connection Allowlist에 매칭하려면 다음 단계를 실행합니다. 이 단계들은 success 또는 failure를 반환합니다.

1. connection allowlist의 allowlist 안의 각 pattern에 대해 For each:

   1. input을 새 URLPatternInit 딕셔너리로 두고, 그 hostname을 pattern의 hostname component로 설정합니다.

   2. host-only pattern을, input, 기본 URL로 null, 그리고 옵션으로 빈 map이 주어졌을 때 URL pattern을 생성한 결과로 둡니다.

   3. synthetic url을 "https://"와 host를 연결한 값을 URL로 parsing한 결과로 둡니다.

   4. host-only pattern과 synthetic url이 주어졌을 때 URL pattern matching이 null을 반환하지 않으면, success를 반환합니다.

2. failure를 반환합니다.

참고: hostname component만으로 새 패턴을 만들고 host에 대한 URL을 합성함으로써, 허용 목록의 _어떤_ 패턴이라도 임의의 프로토콜, 임의의 포트, 임의의 경로 등으로 해당 호스트에 대한 요청을 허용할 수 있다면 매칭을 반환할 수 있습니다.

url이 Connection Allowlists에 의해 차단되어야 하는지 알고리즘은 URL (url), environment (environment), 그리고 list인 connection allowlists (connection allowlists)를 받습니다. 이는 allowed 또는 blocked 중 하나를 반환합니다:

1. connection allowlists의 각 connection allowlist에 대해 For each:

   1. url이 connection allowlist와 matches하면, continue합니다.

   2. url, environment, 그리고 connection allowlist가 주어졌을 때 위반을 보고합니다.

   3. connection allowlist의 disposition이 enforce이면, blocked를 반환합니다.

2. allowed를 반환합니다.

request가 Connection Allowlists에 의해 차단되어야 하는지 알고리즘은 request (request)를 받고, allowed 또는 blocked 중 하나를 반환합니다:

1. allowlists를 request의 policy container의 connection allowlists로 둡니다.

2. allowlists의 각 allowlist에 대해 For each:

   1. request의 URL list의 size가 1보다 크면:

      1. allowlist의 redirects가 allow이면, continue합니다.

      2. request의 url, request의 client, 그리고 allowlist가 주어졌을 때 위반을 보고합니다.

         참고: 리디렉션이 차단될 때, 리디렉션 대상에 대해 필요한 것보다 더 많은 정보를 누출하지 않기 위해 의도적으로 request의 url을 보고하고 그 current url은 보고하지 않습니다.

      3. allowlist의 disposition이 enforce이면, blocked를 반환합니다.

      4. Continue합니다.

   2. request의 url이 allowlist와 matches하면, continue합니다.

   3. request의 url, request의 client, 그리고 allowlist가 주어졌을 때 위반을 보고합니다.

   4. allowlist의 disposition이 enforce이면, blocked를 반환합니다.

3. allowed를 반환합니다.

host가 Connection Allowlists에 의해 차단되어야 하는지 알고리즘은 host (host), environment (environment), 그리고 list인 connection allowlists (connection allowlists)를 받습니다. 이는 allowed 또는 blocked 중 하나를 반환합니다:

1. connection allowlists의 각 connection allowlist에 대해 For each:

   1. host가 connection allowlist와 host-matches하면, continue합니다.

   2. host, environment, 그리고 connection allowlist가 주어졌을 때 위반을 보고합니다.

   3. connection allowlist의 disposition이 enforce이면, blocked를 반환합니다.

2. allowed를 반환합니다.

WebRTC가 Connection Allowlists에 의해 차단되어야 하는지 알고리즘은 environment settings object (environment)를 받고 allowed 또는 blocked 중 하나를 반환합니다:

1. allowlists를 environment의 policy container의 connection allowlists로 둡니다.

2. allowlists의 각 allowlist에 대해 For each:

   1. allowlist의 webrtc가 allow이면, continue합니다.

   2. "webrtc", environment, 그리고 allowlist가 주어졌을 때 위반을 보고합니다.

   3. allowlist의 disposition이 enforce이면, blocked를 반환합니다.

3. allowed를 반환합니다.

enum ConnectionAllowlistDisposition { "enforce", "report" };

dictionary ConnectionAllowlistViolationReport : ReportBody {
  USVString url;
  USVString connection;
  sequence<DOMString> allowlist;
  ConnectionAllowlistDisposition disposition;
};

URL 또는 string "webrtc" (resource URL), environment (environment), 그리고 connection allowlist (allowlist)가 주어졌을 때 위반을 보고하려면:

1. allowlist의 reporting endpoint가 null이면 반환합니다.

2. violation을 다음과 같이 초기화된 새 ConnectionAllowlistViolationReport로 둡니다:

url

environment의 creation URL을 보고서에 사용하기 위해 제거한 값입니다.

connection

resource URL이 URL이면, resource URL을 보고서에 사용하기 위해 제거한 값입니다.

그렇지 않으면 resource URL입니다.

allowlist

allowlist의 allowlist 안의 각 패턴을 직렬화한 결과를 포함하는 새 목록입니다.

disposition

allowlist의 disposition입니다.

3. environment를 컨텍스트로, "connection-allowlist"를 유형으로, allowlist의 reporting endpoint를 대상으로, violation을 데이터로 하여 보고서를 생성하고 큐에 넣습니다.

Main Fetch에서, 7단계를 다음과 같이 조정합니다:

7. If should request be blocked due to a bad port, should fetching request be blocked as mixed content, should request be blocked by Content Security Policy, should request be blocked by Connection Allowlists, or should request be blocked by Integrity Policy Policy returns blocked, then set response to a network error.

resolve an origin에서, 주어진 호스트에 대한 연결을 어떤 패턴이라도 잠재적으로 허용할 수 있는지 판단하기 위해 위의 host-only 매칭 알고리즘을 호출합니다. 허용할 수 없다면 resolution을 실패시킵니다.

1. origin의 host, environment, 그리고 allowlists에 대해 실행했을 때 should host be blocked by Connection Allowlists가 blocked를 반환하면, failure를 반환합니다.

obtain a connection에서, 현재 2단계 전에 검사를 추가합니다:

2. url, environment, 그리고 allowlists에 대해 실행했을 때 should url be blocked by Connection Allowlists가 blocked를 반환하면, failure를 반환합니다.

6. response와 result로 Integrity-Policy 헤더를 파싱합니다.

7. result의 connection allowlists를 response가 주어졌을 때 응답의 Connection Allowlists를 파싱한 결과로 설정합니다.

8. result를 반환합니다.

4. url, this의 relevant settings object, 그리고 this의 relevant settings object의 policy container의 connection allowlists에 대해 실행했을 때 should url be blocked by Connection Allowlists가 blocked를 반환하면, "SecurityError" DOMException으로 거부된 promise를 반환합니다.

Connection-Allowlist: ("https://api.example")

Connection-Allowlist: ("https://api.example");redirects=allow

Connection-Allowlist: ("https://api.example");redirects=some-future-policy

Connection-Allowlist: ("https://api.example")

Connection-Allowlist: ("https://api.example"); webrtc=allow