Dịch vụ HTML: Hạn chế

Để bảo vệ người dùng khỏi HTML hoặc JavaScript độc hại, dịch vụ HTML sử dụng iframe để tạo môi trường biệt lập cho các ứng dụng web hoặc giao diện người dùng tuỳ chỉnh cho Google Tài liệu, Google Trang tính và Biểu mẫu. Dịch vụ HTML không sử dụng môi trường biệt lập trong các trường hợp khác, chẳng hạn như tạo nội dung của email. Môi trường biệt lập áp đặt các hạn chế đối với mã phía máy khách.

Chế độ môi trường biệt lập

Ngoại trừ IFRAME, tất cả các chế độ môi trường biệt lập đều đã ngừng hoạt động. Các ứng dụng trước đây sử dụng chế độ NATIVE hoặc EMULATED hiện tự động sử dụng chế độ IFRAME. Nếu tập lệnh của bạn được phát triển bằng một chế độ cũ hơn, hãy làm theo các hướng dẫn di chuyển để đảm bảo tập lệnh hoạt động đúng cách.

Phương thức setSandboxMode hiện không có hiệu lực khi được gọi.

Các hạn chế ở chế độ IFRAME

Chế độ môi trường biệt lập IFRAME dựa trên tính năng tạo môi trường biệt lập cho iframe trong HTML5, sử dụng các từ khoá sau:

  • allow-same-origin
  • allow-forms
  • allow-scripts
  • allow-popups
  • allow-downloads
  • allow-modals
  • allow-popups-to-escape-sandbox
  • allow-top-navigation-by-user-activation – Thuộc tính này chỉ được đặt cho các dự án tập lệnh độc lập.

Từ khoá allow-top-navigation cho phép nội dung điều hướng ngữ cảnh duyệt web cấp cao nhất của nội dung đó, bị hạn chế và không được đặt làm thuộc tính trong môi trường biệt lập. Nếu cần chuyển hướng tập lệnh, hãy thêm một đường liên kết hoặc nút để người dùng thực hiện hành động.

Ở chế độ IFRAME, bạn cần đặt thuộc tính mục tiêu liên kết thành _top hoặc _blank:

Code.js

function doGet() {
  var template = HtmlService.createTemplateFromFile('top');
  return template.evaluate().setSandboxMode(HtmlService.SandboxMode.IFRAME);
}

top.html

<!DOCTYPE html>
<html>
 <body>
   <div>
     <a href="http://google.com" target="_top">Click Me!</a>
   </div>
 </body>
</html>

Bạn cũng có thể ghi đè thuộc tính này bằng thẻ <base> trong phần đầu của trang web bao quanh:

<!DOCTYPE html>
<html>
  <head>
    <base target="_top">
  </head>
  <body>
   <div>
     <a href="http://google.com">Click Me!</a>
   </div>
 </body>
</html>

Yêu cầu HTTPS đối với nội dung đang hoạt động

"Nội dung đang hoạt động" như tập lệnh, biểu định kiểu bên ngoài và XmlHttpRequests phải được tải qua HTTPS chứ không phải HTTP.