html - 是否允许多行元内容值？

Question

我正在使用 meta http-equiv="Content-Security-Policy" 标签将域列入白名单。该列表变得非常大，所以我想知道是否可以在 content 值中使用新行？

<meta http-equiv="Content-Security-Policy" content="
   default-src 'self' http://example.com;
   style-src 'self' 'unsafe-inline' http://example.com;
   script-src 'self' 'unsafe-inline' http://example.com;
">

编辑: 刚刚发现 validator.w3.org 在多行 content 值上显示错误，所以我猜这是不允许的。

Answer 1

W3C HTML Checker 的维护者(又名验证器)在这里。 HTML 检查器不会报告多行 content 值的错误。它为您上面的示例报告的错误是这样的:

Bad value Content-Security-Policy for attribute http-equiv on element meta

也就是说，错误是针对 http-equiv 属性的，而不是针对 content 属性的。

但是尝试将您的来源更改为:

<meta name="Content-Security-Policy" content="
   default-src 'self' http://example.com;
   style-src 'self' 'unsafe-inline' http://example.com;
   script-src 'self' 'unsafe-inline' http://example.com;
">

……您会看到它没有报告任何错误。

因此，您看到的错误是因为:如果 meta 元素具有 http-equiv 属性，则 according to the HTML spec the value of the http-equiv must be one of the following :

• 内容类型
• 默认样式
• 刷新
• X-UA 兼容

因此 HTML 规范(还)不允许 http-equiv="Content-Security-Policy"。

总而言之，这是 W3C HTML 检查器中的一个错误，因为检查器应该支持http-equiv="Content-Security-Policy，在 details provided about http-equiv="Content-Security-Policy in the Content Security Policy spec 之后。

所以我raised a checker bug for it就在现在。

这基本上也是 HTML 规范中的一个错误，因为此时 HTML 规范本身也应该说明 http-equiv="Content-Security-Policy" 是允许的。所以I’ve raised a bug against the HTML spec for this添加 http-equiv="Content-Security-Policy" 到 Pragma directives我在上面引用的 HTML 规范的一部分，以及它的补丁可能会在本周晚些时候合并到规范中。