このページでは、サードパーティ製アドオンが満たす必要があるセキュリティ要件について詳しく説明します。
オリジンの制限
送信元とは、スキーム(プロトコル)、ホスト(ドメイン)、ポートを含む URL です。同じスキーム、ホスト、ポートを共有する 2 つの URL は同じオリジンになります。サブオリジンは許可されます。詳細については、RFC 6454 をご覧ください。
これらのリソースは、スキーム、ホスト、ポートのコンポーネントが同じであるため、同じオリジンを共有します。
https://www.example.com
https://www.example.com:443
https://www.example.com/sidePanel.html
オリジンを操作する場合は、次の制約が適用されます。
アドオンのオペレーションで使用されるすべてのオリジンで、プロトコルとして
https
を使用する必要があります。アドオン マニフェストの
addOnOrigins
フィールドには、アドオンが使用しているオリジンを入力する必要があります。addOnOrigins
フィールドのエントリは、CSP ホストソースと互換性のある値のリストにする必要があります。たとえば、https://*.addon.example.com
やhttps://main-stage-addon.example.com:443
です。リソースパスは使用できません。このリストは次の目的で使用されます。
アプリケーションを含む iframe の
frame-src
値を設定します。アドオンで使用している URL を検証します。次の言語 / 地域で使用するオリジンは、マニフェストの
addOnOrigins
フィールドにリストされているオリジンの一部である必要があります。アドオン マニフェストの
sidePanelUri
フィールド。詳細については、Meet アドオンをデプロイするをご覧ください。AddonScreenshareInfo
オブジェクトのsidePanelUrl
プロパティとmainStageUrl
プロパティ。詳しくは、画面共有でアドオンをユーザーに宣伝するをご覧ください。ActivityStartingState
のsidePanelUrl
プロパティとmainStageUrl
プロパティ。アクティビティの開始状態について詳しくは、 Meet アドオンを使用したコラボレーションをご覧ください。
exposeToMeetWhenScreensharing()
メソッドを呼び出すサイトの提供元を検証します。
アプリケーションで iframe 内の URL ナビゲーションを使用する場合は、ナビゲート先のすべてのオリジンを
addOnOrigins
フィールドに指定する必要があります。なお、ワイルドカード サブドメインは使用できます。例:https://*.example.com
ただし、Firebase が所有するweb.app
など、所有していないドメインでワイルドカード サブドメインを使用することはおすすめしません。