การรักษาความปลอดภัยเสริม
จัดทุกอย่างให้เป็นระเบียบอยู่เสมอด้วยคอลเล็กชัน
บันทึกและจัดหมวดหมู่เนื้อหาตามค่ากำหนดของคุณ
หน้านี้จะแสดงรายละเอียดข้อกำหนดด้านความปลอดภัยที่ส่วนเสริมของบุคคลที่สาม
ต้องปฏิบัติตาม
ข้อจำกัดของแหล่งที่มา
ต้นทางคือ URL ที่มีรูปแบบ (โปรโตคอล) โฮสต์ (โดเมน) และพอร์ต URL 2 รายการจะมีต้นทางเดียวกันเมื่อใช้รูปแบบ โฮสต์ และพอร์ตเดียวกัน
อนุญาตให้ใช้ต้นทางย่อย ดูข้อมูลเพิ่มเติมได้ที่ RFC
6454
แหล่งข้อมูลเหล่านี้ใช้ต้นทางเดียวกันเนื่องจากมีคอมโพเนนต์รูปแบบ โฮสต์ และพอร์ตเดียวกัน
https://www.example.comhttps://www.example.com:443https://www.example.com/sidePanel.html
ข้อจำกัดต่อไปนี้จะมีผลเมื่อทำงานกับต้นทาง
ต้นทางทั้งหมดที่ใช้ในการดำเนินการของ
ส่วนเสริมต้องใช้ https เป็นโปรโตคอล
ฟิลด์ addOnOrigins ใน ไฟล์ Manifest ของส่วนเสริม ต้องมี
ต้นทางที่ส่วนเสริมของคุณ
ใช้
รายการในฟิลด์ addOnOrigins ต้องเป็นรายการค่าที่เข้ากันได้กับแหล่งที่มาของโฮสต์ CSP
เช่น https://*.addon.example.com หรือ
https://main-stage-addon.example.com:443 ไม่อนุญาตให้ใช้เส้นทาง
ทรัพยากร
รายการนี้ใช้เพื่อดำเนินการต่อไปนี้
กำหนดค่า
frame-src
ของ iframe ที่มีแอปพลิเคชัน
ตรวจสอบ URL ที่ส่วนเสริมของคุณใช้
ต้นทางที่ใช้ในภาษาต่อไปนี้ต้องเป็นส่วนหนึ่งของต้นทาง
ที่ระบุไว้ในฟิลด์ addOnOrigins ในไฟล์ Manifest
ตรวจสอบแหล่งที่มาของเว็บไซต์ที่เรียกใช้เมธอด
exposeToMeetWhenScreensharing()
หากแอปพลิเคชันใช้การนำทาง URL ภายใน iframe ต้นทางทั้งหมดที่
มีการนำทางต้องแสดงอยู่ในช่องaddOnOrigins โปรดทราบว่า
อนุญาตให้ใช้โดเมนย่อยแบบไวลด์การ์ด เช่น https://*.example.com อย่างไรก็ตาม เราไม่แนะนำอย่างยิ่งให้ใช้โดเมนย่อยแบบไวลด์การ์ดกับโดเมนที่คุณไม่ได้เป็นเจ้าของ เช่น web.app ซึ่งเป็นของ Firebase
เนื้อหาของหน้าเว็บนี้ได้รับอนุญาตภายใต้ใบอนุญาตที่ต้องระบุที่มาของครีเอทีฟคอมมอนส์ 4.0 และตัวอย่างโค้ดได้รับอนุญาตภายใต้ใบอนุญาต Apache 2.0 เว้นแต่จะระบุไว้เป็นอย่างอื่น โปรดดูรายละเอียดที่นโยบายเว็บไซต์ Google Developers Java เป็นเครื่องหมายการค้าจดทะเบียนของ Oracle และ/หรือบริษัทในเครือ
อัปเดตล่าสุด 2025-08-01 UTC
[null,null,["อัปเดตล่าสุด 2025-08-01 UTC"],[],[],null,["# Add-on security\n\nThis page details the security requirements third-party add-ons\nhave to fulfill.\n\nOrigin restrictions\n-------------------\n\nAn origin is a URL with a scheme (protocol), host (domain), and port. Two URLs\nhave the same origin when they share the same scheme, host, and port.\nSub-origins are permitted. For more information, see [RFC\n6454](https://www.ietf.org/rfc/rfc6454.txt).\n\nThese resources share the same origin as they have the same scheme, host, and\nport components:\n\n- `https://www.example.com`\n- `https://www.example.com:443`\n- `https://www.example.com/sidePanel.html`\n\nThe following constraints are enforced when working with origins:\n\n1. All [origins](/workspace/meet/add-ons/guides/overview#origin) used in the operation of\n your add-on must use `https` as the protocol.\n\n2. The `addOnOrigins` field in the [add-on\n manifest](/workspace/meet/add-ons/guides/deploy-add-on#create-deployment) must be\n populated with the origins that your add-on is\n using.\n\n The entries in the `addOnOrigins` field must be a list of [CSP host\n source](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/Sources#host-source)\n compatible values. For example `https://*.addon.example.com` or\n `https://main-stage-addon.example.com:443`. [Resource\n paths](https://developer.mozilla.org/en-US/docs/Learn/Common_questions/Web_mechanics/What_is_a_URL#path_to_resource)\n are not allowed.\n\n This list is used to:\n - Set the\n [`frame-src`](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-src)\n value of the iframes containing your application.\n\n - Validate the URLs that your add-on is using.\n The origin used in the following locales must be part of the origins\n listed in the `addOnOrigins` field in the manifest:\n\n - The `sidePanelUri` field in the add-on\n manifest. For more information, see\n [Deploy a Meet add-on](/workspace/meet/add-ons/guides/deploy-add-on#create-deployment).\n\n - The `sidePanelUrl` and `mainStageUrl` properties in the\n [`AddonScreenshareInfo`](/workspace/meet/add-ons/reference/websdk/screenshare_api.addonscreenshareinfo)\n object. For more information, see\n [Promote an add-on to users through screen\n sharing](/workspace/meet/add-ons/guides/promote#screen_sharing).\n\n - The `sidePanelUrl` and `mainStageUrl` properties in the\n [`ActivityStartingState`](/workspace/meet/add-ons/reference/websdk/addon_sdk.activitystartingstate).\n For more information on activity starting state, see [Collaborate using a Meet add-on](/workspace/meet/add-ons/guides/collaborate-in-the-add-on).\n\n - Validate the origin of the site that's calling the\n [`exposeToMeetWhenScreensharing()`](/workspace/meet/add-ons/reference/websdk/screenshare_api.meetaddonscreenshare.exposetomeetwhenscreensharing)\n method.\n\n3. If your application uses URL navigation inside the iframe, all origins that\n are being navigated to must be listed in the `addOnOrigins` field. Note that\n wildcard subdomains are permitted. For example,\n `https://*.example.com`. However, we strongly advise against using wildcard\n subdomains with a domain you don't own, such as `web.app` which is owned by\n Firebase."]]
