Tìm hiểu cách kiểm soát việc quản lý đối tượng thông qua Chính sách về quyền hoặc uỷ quyền cho bên thứ ba bằng cách định cấu hình URL về quyền .well-known.
Nguồn gốc của ngữ cảnh gọi cho joinAdInterestGroup() phải khớp với nguồn gốc của chủ sở hữu nhóm mối quan tâm, vì vậy, joinAdInterestGroup() sẽ cần được gọi từ iframe (ví dụ: từ DSP) trừ phi nguồn gốc của chủ sở hữu nhóm mối quan tâm khớp với nguồn gốc của tài liệu hiện tại (ví dụ: một trang web có nhóm mối quan tâm riêng).
joinAdInterestGroup() yêu cầu quyền từ:
- Trang web được truy cập
- Chủ sở hữu nhóm mối quan tâm
Điều này có nghĩa là malicious.example không thể gọi joinAdInterestGroup() cho một nhóm mối quan tâm do dsp.example.com sở hữu, khi dsp.example.com chưa cấp quyền.
Quyền từ trang web đã truy cập
Quyền có thể được cấp từ cùng một nguồn gốc hoặc nhiều nguồn gốc.
Theo mặc định, quyền được cấp cho các lệnh gọi joinAdInterestGroup() có cùng nguồn với trang web được truy cập (nói cách khác, có cùng nguồn với khung cấp cao nhất của trang hiện tại). Các trang web có thể dùng tiêu đề của chính sách về quyền join-ad-interest-group để tắt các lệnh gọi joinAdInterestGroup().
Việc gọi joinAdInterestGroup() nhiều nguồn gốc (các nguồn gốc khác với trang hiện tại) chỉ có thể thành công nếu trang web đang được truy cập đã đặt chính sách quyền cho phép các lệnh gọi đến joinAdInterestGroup() từ các iframe nhiều nguồn gốc.
Quyền từ chủ sở hữu nhóm mối quan tâm
Quyền chủ sở hữu nhóm mối quan tâm được cấp ngầm bằng cách gọi joinAdInterestGroup() từ iframe có cùng nguồn gốc với quyền của chủ sở hữu nhóm mối quan tâm. Ví dụ: iframe dsp.example.com có thể gọi joinAdInterestGroup() cho các nhóm mối quan tâm do dsp.example.com sở hữu.
Về cơ bản, joinAdInterestGroup() có thể chạy trong một trang hoặc iframe trên miền của chủ sở hữu hoặc được uỷ quyền cho các miền khác được cung cấp bằng danh sách tại URL .well-known.
Khi một khung được điều hướng đến một miền gọi joinAdInterestGroup(), leaveAdInterestGroup() hoặc clearOriginJoinedAdInterestGroups() cho một nhóm mối quan tâm có chủ sở hữu khác, trình duyệt sẽ tìm nạp URL https://owner.domain/.well-known/interest-group/permissions/?origin=frame.origin, trong đó owner.domain là miền sở hữu nhóm mối quan tâm và frame.origin là nguồn gốc của khung. Quá trình tìm nạp sử dụng chế độ bỏ qua thông tin xác thực, sử dụng Khoá phân vùng mạng của khung đã gọi phương thức này. Để tránh làm rò rỉ dữ liệu nhiều nguồn gốc đột ngột thông qua Promise được trả về, quá trình tìm nạp sẽ sử dụng chế độ cors. Phản hồi được tìm nạp phải có loại MIME JSON và định dạng:
{ "joinAdInterestGroup": true/false,
"leaveAdInterestGroup": true/false
}
Cho biết liệu điểm gốc trong đường dẫn có quyền tham gia hoặc rời khỏi các nhóm mối quan tâm thuộc sở hữu của miền mà yêu cầu được gửi đến hay không. Việc thiếu quyền sẽ được giả định là sai. Vì việc gọi navigator.joinAdInterestGroup() có lifetimeMs là 0 sẽ rời khỏi nhóm mối quan tâm một cách hiệu quả, nên joinAdInterestGroup: true cũng cho phép một nguồn gốc gọi navigator.leaveAdInterestGroup(), ngay cả khi leaveadInterestGroup bị thiếu hoặc được đặt thành false. Xin lưu ý rằng cả leaveAdInterestGroup() và clearOriginJoinedAdInterestGroups() đều kiểm tra quyền leaveAdInterestGroup.