Tiện ích bổ sung bảo mật
Sử dụng bộ sưu tập để sắp xếp ngăn nắp các trang
Lưu và phân loại nội dung dựa trên lựa chọn ưu tiên của bạn.
Trang này trình bày chi tiết các yêu cầu về bảo mật mà tiện ích bổ sung của bên thứ ba phải đáp ứng.
Quy định hạn chế về nguồn
Nguồn gốc là một URL có lược đồ (giao thức), máy chủ (miền) và cổng. Hai URL có cùng nguồn gốc khi chúng dùng chung cùng một lược đồ, máy chủ lưu trữ và cổng.
Được phép sử dụng nguồn gốc phụ. Để biết thêm thông tin, hãy xem RFC 6454.
Những tài nguyên này có cùng nguồn gốc vì có cùng các thành phần lược đồ, máy chủ lưu trữ và cổng:
https://www.example.comhttps://www.example.com:443https://www.example.com/sidePanel.html
Các điều kiện ràng buộc sau đây sẽ được thực thi khi bạn làm việc với nguồn gốc:
Tất cả origin được dùng trong hoạt động của tiện ích bổ sung đều phải sử dụng https làm giao thức.
Bạn phải điền sẵn các nguồn mà tiện ích bổ sung của bạn đang sử dụng vào trường addOnOrigins trong tệp kê khai tiện ích bổ sung.
Các mục trong trường addOnOrigins phải là danh sách các giá trị tương thích nguồn máy chủ lưu trữ CSP. Ví dụ: https://*.addon.example.com hoặc https://main-stage-addon.example.com:443. Đường dẫn tài nguyên không được phép.
Danh sách này được dùng để:
Đặt giá trị frame-src của iframe chứa ứng dụng.
Xác thực các URL mà tiện ích bổ sung của bạn đang sử dụng.
Nguồn được dùng trong các ngôn ngữ sau đây phải thuộc các nguồn được liệt kê trong trường addOnOrigins của tệp kê khai:
Xác thực nguồn gốc của trang web đang gọi phương thức exposeToMeetWhenScreensharing().
Nếu ứng dụng của bạn sử dụng chế độ điều hướng URL bên trong iframe, thì tất cả các nguồn đang được chuyển hướng đến phải được liệt kê trong trường addOnOrigins. Xin lưu ý rằng bạn được phép sử dụng miền con đại diện. Ví dụ: https://*.example.com. Tuy nhiên, bạn không nên sử dụng miền con ký tự đại diện với một miền mà bạn không sở hữu, chẳng hạn như web.app do Firebase sở hữu.
Trừ phi có lưu ý khác, nội dung của trang này được cấp phép theo Giấy phép ghi nhận tác giả 4.0 của Creative Commons và các mẫu mã lập trình được cấp phép theo Giấy phép Apache 2.0. Để biết thông tin chi tiết, vui lòng tham khảo Chính sách trang web của Google Developers. Java là nhãn hiệu đã đăng ký của Oracle và/hoặc các đơn vị liên kết với Oracle.
Cập nhật lần gần đây nhất: 2025-08-01 UTC.
[null,null,["Cập nhật lần gần đây nhất: 2025-08-01 UTC."],[],[],null,["# Add-on security\n\nThis page details the security requirements third-party add-ons\nhave to fulfill.\n\nOrigin restrictions\n-------------------\n\nAn origin is a URL with a scheme (protocol), host (domain), and port. Two URLs\nhave the same origin when they share the same scheme, host, and port.\nSub-origins are permitted. For more information, see [RFC\n6454](https://www.ietf.org/rfc/rfc6454.txt).\n\nThese resources share the same origin as they have the same scheme, host, and\nport components:\n\n- `https://www.example.com`\n- `https://www.example.com:443`\n- `https://www.example.com/sidePanel.html`\n\nThe following constraints are enforced when working with origins:\n\n1. All [origins](/workspace/meet/add-ons/guides/overview#origin) used in the operation of\n your add-on must use `https` as the protocol.\n\n2. The `addOnOrigins` field in the [add-on\n manifest](/workspace/meet/add-ons/guides/deploy-add-on#create-deployment) must be\n populated with the origins that your add-on is\n using.\n\n The entries in the `addOnOrigins` field must be a list of [CSP host\n source](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/Sources#host-source)\n compatible values. For example `https://*.addon.example.com` or\n `https://main-stage-addon.example.com:443`. [Resource\n paths](https://developer.mozilla.org/en-US/docs/Learn/Common_questions/Web_mechanics/What_is_a_URL#path_to_resource)\n are not allowed.\n\n This list is used to:\n - Set the\n [`frame-src`](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-src)\n value of the iframes containing your application.\n\n - Validate the URLs that your add-on is using.\n The origin used in the following locales must be part of the origins\n listed in the `addOnOrigins` field in the manifest:\n\n - The `sidePanelUri` field in the add-on\n manifest. For more information, see\n [Deploy a Meet add-on](/workspace/meet/add-ons/guides/deploy-add-on#create-deployment).\n\n - The `sidePanelUrl` and `mainStageUrl` properties in the\n [`AddonScreenshareInfo`](/workspace/meet/add-ons/reference/websdk/screenshare_api.addonscreenshareinfo)\n object. For more information, see\n [Promote an add-on to users through screen\n sharing](/workspace/meet/add-ons/guides/promote#screen_sharing).\n\n - The `sidePanelUrl` and `mainStageUrl` properties in the\n [`ActivityStartingState`](/workspace/meet/add-ons/reference/websdk/addon_sdk.activitystartingstate).\n For more information on activity starting state, see [Collaborate using a Meet add-on](/workspace/meet/add-ons/guides/collaborate-in-the-add-on).\n\n - Validate the origin of the site that's calling the\n [`exposeToMeetWhenScreensharing()`](/workspace/meet/add-ons/reference/websdk/screenshare_api.meetaddonscreenshare.exposetomeetwhenscreensharing)\n method.\n\n3. If your application uses URL navigation inside the iframe, all origins that\n are being navigated to must be listed in the `addOnOrigins` field. Note that\n wildcard subdomains are permitted. For example,\n `https://*.example.com`. However, we strongly advise against using wildcard\n subdomains with a domain you don't own, such as `web.app` which is owned by\n Firebase."]]
