插件安全性

本页详细介绍了第三方插件必须满足的安全要求。

来源限制

来源是包含架构（协议）、主机（域名）和端口的网址。如果两个网址具有相同的架构、主机和端口，则具有相同的来源。允许使用子来源。如需了解详情，请参阅 RFC 6454。

这些资源具有相同的架构、主机和端口组件，因此具有相同的来源：

• https://www.example.com
• https://www.example.com:443
• https://www.example.com/sidePanel.html

使用来源时，系统会强制执行以下约束条件：

1. 在运行您的插件时使用的所有来源都必须使用 https 作为协议。

2. 必须使用您的插件使用的来源填充插件清单中的 addOnOrigins 字段。

   addOnOrigins 字段中的条目必须是 CSP 主机来源兼容值的列表。例如 https://*.addon.example.com 或 https://main-stage-addon.example.com:443。不允许使用资源路径。

   此列表用于：

   • 设置包含应用的 iframe 的 frame-src 值。

   • 验证您的插件使用的网址。 以下语言区域中使用的来源必须是清单 addOnOrigins 字段中列出的来源的一部分：

     • 插件清单中的 sidePanelUri 字段。如需了解详情，请参阅部署 Meet 插件。

     • AddonScreenshareInfo 对象中的 sidePanelUrl 和 mainStageUrl 属性。如需了解详情，请参阅通过屏幕共享向用户宣传插件。

     • ActivityStartingState 中的 sidePanelUrl 和 mainStageUrl 属性。如需详细了解 activity 启动状态，请参阅 使用 Meet 插件协作。

   • 验证调用 exposeToMeetWhenScreensharing() 方法的网站的来源。

3. 如果您的应用在 iframe 中使用网址导航，则必须在 addOnOrigins 字段中列出要导航到的所有来源。请注意，通配符子网域是允许的。例如 https://*.example.com。不过，我们强烈建议您不要将通配符子网域与您不拥有的网域（例如 Firebase 拥有的 web.app）搭配使用。