capability.policy für JavaScript (Whitelist)