Keamanan add-on
Tetap teratur dengan koleksi
Simpan dan kategorikan konten berdasarkan preferensi Anda.
Halaman ini menjelaskan persyaratan keamanan yang harus dipenuhi oleh add-on pihak ketiga.
Batasan asal
Origin adalah URL dengan skema (protokol), host (domain), dan port. Dua URL
memiliki origin yang sama jika keduanya memiliki skema, host, dan port yang sama.
Sub-origin diizinkan. Untuk mengetahui informasi selengkapnya, lihat RFC
6454.
Resource ini memiliki origin yang sama karena memiliki komponen skema, host, dan
port yang sama:
https://www.example.comhttps://www.example.com:443https://www.example.com/sidePanel.html
Batasan berikut diterapkan saat bekerja dengan origin:
Semua origin yang digunakan dalam pengoperasian
add-on Anda harus menggunakan https sebagai protokol.
Kolom addOnOrigins di manifes
add-on harus diisi dengan asal yang digunakan add-on Anda.
Entri di kolom addOnOrigins harus berupa daftar nilai yang kompatibel dengan sumber host CSP. Misalnya, https://*.addon.example.com atau
https://main-stage-addon.example.com:443. Jalur
resource
tidak diizinkan.
Daftar ini digunakan untuk:
Tetapkan nilai
frame-src
iframe yang berisi aplikasi Anda.
Validasi URL yang digunakan add-on Anda.
Asal yang digunakan di lokalitas berikut harus menjadi bagian dari asal yang tercantum di kolom addOnOrigins dalam manifes:
Memvalidasi asal situs yang memanggil metode
exposeToMeetWhenScreensharing().
Jika aplikasi Anda menggunakan navigasi URL di dalam iframe, semua origin yang
dituju harus dicantumkan di kolom addOnOrigins. Perhatikan bahwa
subdomain karakter pengganti diizinkan. Misalnya, https://*.example.com. Namun, sebaiknya jangan gunakan subdomain wildcard dengan domain yang bukan milik Anda, seperti web.app yang dimiliki oleh Firebase.
Kecuali dinyatakan lain, konten di halaman ini dilisensikan berdasarkan Lisensi Creative Commons Attribution 4.0, sedangkan contoh kode dilisensikan berdasarkan Lisensi Apache 2.0. Untuk mengetahui informasi selengkapnya, lihat Kebijakan Situs Google Developers. Java adalah merek dagang terdaftar dari Oracle dan/atau afiliasinya.
Terakhir diperbarui pada 2025-08-01 UTC.
[null,null,["Terakhir diperbarui pada 2025-08-01 UTC."],[],[],null,["# Add-on security\n\nThis page details the security requirements third-party add-ons\nhave to fulfill.\n\nOrigin restrictions\n-------------------\n\nAn origin is a URL with a scheme (protocol), host (domain), and port. Two URLs\nhave the same origin when they share the same scheme, host, and port.\nSub-origins are permitted. For more information, see [RFC\n6454](https://www.ietf.org/rfc/rfc6454.txt).\n\nThese resources share the same origin as they have the same scheme, host, and\nport components:\n\n- `https://www.example.com`\n- `https://www.example.com:443`\n- `https://www.example.com/sidePanel.html`\n\nThe following constraints are enforced when working with origins:\n\n1. All [origins](/workspace/meet/add-ons/guides/overview#origin) used in the operation of\n your add-on must use `https` as the protocol.\n\n2. The `addOnOrigins` field in the [add-on\n manifest](/workspace/meet/add-ons/guides/deploy-add-on#create-deployment) must be\n populated with the origins that your add-on is\n using.\n\n The entries in the `addOnOrigins` field must be a list of [CSP host\n source](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/Sources#host-source)\n compatible values. For example `https://*.addon.example.com` or\n `https://main-stage-addon.example.com:443`. [Resource\n paths](https://developer.mozilla.org/en-US/docs/Learn/Common_questions/Web_mechanics/What_is_a_URL#path_to_resource)\n are not allowed.\n\n This list is used to:\n - Set the\n [`frame-src`](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-src)\n value of the iframes containing your application.\n\n - Validate the URLs that your add-on is using.\n The origin used in the following locales must be part of the origins\n listed in the `addOnOrigins` field in the manifest:\n\n - The `sidePanelUri` field in the add-on\n manifest. For more information, see\n [Deploy a Meet add-on](/workspace/meet/add-ons/guides/deploy-add-on#create-deployment).\n\n - The `sidePanelUrl` and `mainStageUrl` properties in the\n [`AddonScreenshareInfo`](/workspace/meet/add-ons/reference/websdk/screenshare_api.addonscreenshareinfo)\n object. For more information, see\n [Promote an add-on to users through screen\n sharing](/workspace/meet/add-ons/guides/promote#screen_sharing).\n\n - The `sidePanelUrl` and `mainStageUrl` properties in the\n [`ActivityStartingState`](/workspace/meet/add-ons/reference/websdk/addon_sdk.activitystartingstate).\n For more information on activity starting state, see [Collaborate using a Meet add-on](/workspace/meet/add-ons/guides/collaborate-in-the-add-on).\n\n - Validate the origin of the site that's calling the\n [`exposeToMeetWhenScreensharing()`](/workspace/meet/add-ons/reference/websdk/screenshare_api.meetaddonscreenshare.exposetomeetwhenscreensharing)\n method.\n\n3. If your application uses URL navigation inside the iframe, all origins that\n are being navigated to must be listed in the `addOnOrigins` field. Note that\n wildcard subdomains are permitted. For example,\n `https://*.example.com`. However, we strongly advise against using wildcard\n subdomains with a domain you don't own, such as `web.app` which is owned by\n Firebase."]]
