개요

clipboard-read 지시어는 navigator.clipboard.read()·readText()로 시스템 클립보드의 내용을 읽는 비동기 Clipboard API의 사용 가능 여부를 제어합니다. 기본 허용 목록은 self이며, 클립보드 읽기는 민감 작업이라 사용자 권한이 추가로 필요합니다.

자세히

`clipboard-read=(self)`는 자기 오리진, `clipboard-read=()`는 전면 차단, `clipboard-read=(self "https://editor.example.com")`는 지정 오리진에 위임합니다. iframe에는 `allow="clipboard-read"`가 필요합니다. 정책이 거부하면 navigator.clipboard.readText()가 반환하는 Promise는 NotAllowedError로 reject됩니다.

클립보드 읽기는 다른 애플리케이션에서 복사한 비밀번호·토큰 등을 노출할 수 있어, Permissions-Policy 허용에 더해 브라우저의 clipboard-read 권한(사용자 프롬프트 또는 사용자 제스처)이 요구됩니다. 이 지시어는 정책 계층에서 접근 가능 오리진을 제한하고, 실제 권한 부여는 Permissions API의 clipboard-read 상태로 별도 관리됩니다. 구형 Feature-Policy를 대체합니다.

문법

Permissions-Policy: clipboard-read=(self)

실무 참고

• 클립보드에는 다른 앱의 민감 데이터가 담길 수 있으므로, 신뢰하지 않는 프레임에는 clipboard-read=()로 차단하세요.
• 브라우저마다 권한 처리와 지원이 달라, 붙여넣기 이벤트(paste) 기반 폴백을 함께 준비하는 것이 안전합니다.

관련 지시어