Dodatkowe zabezpieczenia

Ta strona zawiera szczegółowe informacje o wymaganiach bezpieczeństwa dotyczących dodatków innych firm które trzeba spełnić.

Ograniczenia dotyczące źródła

Źródło to adres URL ze schematem (protokółem), hostem (domeną) i portem. Dwa adresy URL mają to samo źródło, jeśli korzystają z tego samego schematu, hosta i portu. Źródła podrzędne są dozwolone. Więcej informacji znajdziesz w dokumencie RFC 6454).

Te zasoby mają to samo źródło, ponieważ mają ten sam schemat, hosta komponenty portu:

• https://www.example.com
• https://www.example.com:443
• https://www.example.com/sidePanel.html

Podczas pracy ze źródłami egzekwowane są te ograniczenia:

1. Wszystkie źródła używane w operacji dodatek musi używać protokołu https.

2. Pole addOnOrigins w dodatku plik manifestu musi mieć wartość zawiera źródła, którymi jest Twój dodatek .

   Wpisy w polu addOnOrigins muszą być listą hostów CSP źródło zgodne wartości. Na przykład https://*.addon.example.com lub https://main-stage-addon.example.com:443 Zasób ścieżki są niedozwolone.

   Ta lista służy do:

   • Ustaw parametr frame-src elementów iframe zawierających Twoją aplikację.

   • Zweryfikuj adresy URL używane przez dodatek. Punkt początkowy używany w tych językach musi być częścią źródeł podane w polu addOnOrigins w pliku manifestu:

     • Pole sidePanelUri w dodatku pliku manifestu. Więcej informacji: Utwórz dodatek do Meet

     • sidePanelUrl i mainStageUrl w AddonScreenshareInfo. obiektu. Więcej informacji: Promuj dodatek wśród użytkowników przez udostępnianie ekranu.

     • sidePanelUrl i mainStageUrl w CollaborationStartingState. Więcej informacji znajdziesz w artykule na temat używania stanu początkowego współpracy.

   • Sprawdź pochodzenie witryny, która wywołuje metodę MeetAddonScreenshare.exposeToMeetWhenScreensharing .

3. Jeśli Twoja aplikacja używa nawigacji URL w elemencie iframe, wszystkie źródła, są kierowane do użytkownika, muszą być wymienione w polu addOnOrigins. Pamiętaj, że subdomeny z symbolami wieloznacznymi. Przykład: https://*.example.com Zdecydowanie odradzamy jednak używanie symboli wieloznacznych subdomeny z domeną, która nie należy do Ciebie, np. web.app, która należy do: Firebase.