الأمان الإضافي

توضِّح هذه الصفحة بالتفصيل متطلبات الأمان التي يجب أن تستوفيها الإضافات التابعة لجهات خارجية.

القيود المفروضة على المصدر

المصدر هو عنوان URL يتضمّن مخطّطًا (بروتوكول) ومضيفًا (نطاق) ومنفذًا. يكون مصدر عنوانَي URL هو نفسه عندما يتشاركان المخطّط والمضيف والمنفذ نفسهما. يُسمح باستخدام مصادر فرعية. لمزيد من المعلومات، يُرجى الاطّلاع على RFC 6454.

تتشارك هذه الموارد المصدر نفسه لأنّها تتضمّن مكوّنات المخطّط والمضيف والمنفذ نفسها:

• https://www.example.com
• https://www.example.com:443
• https://www.example.com/sidePanel.html

يتم فرض القيود التالية عند العمل مع مصادر البيانات:

1. يجب أن تستخدم جميع المصادر المستخدَمة في تشغيل الإضافة بروتوكول https.

2. يجب ملء الحقل addOnOrigins في بيان الإضافة بالمراجع التي تستخدمها الإضافة.

   يجب أن تكون الإدخالات في الحقل addOnOrigins قائمة بالقيم المتوافقة مع مضيف CSP المصدر. على سبيل المثال، https://*.addon.example.com أو https://main-stage-addon.example.com:443. مسارات الموارد غير مسموح بها.

   تُستخدَم هذه القائمة لإجراء ما يلي:

   • اضبط قيمة frame-src لإطارات iframe التي تحتوي على تطبيقك.

   • تحقَّق من عناوين URL التي تستخدمها الإضافة. يجب أن يكون مصدر البيانات المستخدَم في اللغات التالية جزءًا من مصادر البيانات المدرَجة في الحقل addOnOrigins في البيان:

     • حقل sidePanelUri في بيان الإضافة لمزيد من المعلومات، يُرجى الاطّلاع على مقالة نشر إضافة Meet.

     • السمتَان sidePanelUrl وmainStageUrl في عنصر AddonScreenshareInfo لمزيد من المعلومات، يُرجى الاطّلاع على مقالة الترويج لإضافة للمستخدمين من خلال مشاركة الشاشة.

     • السمتَان sidePanelUrl وmainStageUrl في ActivityStartingState لمزيد من المعلومات عن حالة بدء النشاط، يُرجى الاطّلاع على مقالة التعاون باستخدام إضافة Meet.

   • تحقّق من مصدر الموقع الإلكتروني الذي يستدعي الأسلوب exposeToMeetWhenScreensharing().

3. إذا كان تطبيقك يستخدم التنقّل في عناوين URL داخل إطار iframe، يجب إدراج جميع المصادر التي يتم الانتقال إليها في الحقل addOnOrigins. يُرجى العلم أنّه يُسمح باستخدام النطاقات الفرعية البادئة بعلامة النجمة. على سبيل المثال، https://*.example.com. ومع ذلك، ننصح بشدة بعدم استخدام عناوين نطاقات فرعية بدلاً من الأسماء المعرِّفة مع نطاق لا تملكه، مثل web.app الذي تملكه Firebase.