تنظيم صفحاتك في مجموعات يمكنك حفظ المحتوى وتصنيفه حسب إعداداتك المفضّلة.
توضّح هذه الصفحة متطلبات الأمان التي يجب أن تستوفيها الإضافات التابعة لجهات خارجية.
القيود المفروضة على بلد المنشأ
المصدر هو عنوان URL يتضمّن مخططًا (بروتوكولاً) ومضيفًا (نطاقًا) ومنفذًا. يكون عنوانا URL من المصدر نفسه عندما يتشاركان المخطط والمضيف والمنفذ. يُسمح باستخدام المصادر الفرعية. لمزيد من المعلومات، يُرجى الاطّلاع على RFC 6454.
تتشارك هذه المراجع المصدر نفسه لأنّها تتضمّن المخطط والمضيف ومكوّنات المنفذ نفسها:
https://www.example.com
https://www.example.com:443
https://www.example.com/sidePanel.html
يتم فرض القيود التالية عند العمل مع المصادر:
يجب أن تستخدم جميع المصادر المستخدَمة في تشغيل الإضافة البروتوكول https.
يجب ملء الحقل addOnOrigins في بيان الإضافة بالمصادر التي تستخدمها الإضافة.
يجب أن تكون الإدخالات في الحقل addOnOrigins عبارة عن قائمة بقيم متوافقة مع مصدر مضيف CSP. على سبيل المثال، https://*.addon.example.com أو https://main-stage-addon.example.com:443. لا يُسمح بمسارات الموارد.
تُستخدَم هذه القائمة في ما يلي:
اضبط قيمة frame-src لإطارات iframe التي تحتوي على تطبيقك.
تحقَّق من صحة عناوين URL التي تستخدمها الإضافة. يجب أن يكون المصدر المستخدَم في اللغات التالية جزءًا من المصادر المدرَجة في الحقل addOnOrigins في البيان:
حقل sidePanelUri في بيان الإضافة لمزيد من المعلومات، يُرجى الاطّلاع على نشر إضافة في Meet.
إذا كان تطبيقك يستخدم التنقّل عبر عناوين URL داخل إطار iframe، يجب إدراج جميع المصادر التي يتم التنقّل إليها في الحقل addOnOrigins. يُرجى العِلم أنّه يُسمح باستخدام النطاقات الفرعية ذات الأحرف البَديلة. على سبيل المثال، https://*.example.com. ومع ذلك، ننصح بشدة بعدم استخدام نطاقات فرعية ذات أحرف بدل مع نطاق لا تملكه، مثل web.app الذي تملكه Firebase.
تاريخ التعديل الأخير: 2025-08-01 (حسب التوقيت العالمي المتفَّق عليه)
[[["يسهُل فهم المحتوى.","easyToUnderstand","thumb-up"],["ساعَدني المحتوى في حلّ مشكلتي.","solvedMyProblem","thumb-up"],["غير ذلك","otherUp","thumb-up"]],[["لا يحتوي على المعلومات التي أحتاج إليها.","missingTheInformationINeed","thumb-down"],["الخطوات معقدة للغاية / كثيرة جدًا.","tooComplicatedTooManySteps","thumb-down"],["المحتوى قديم.","outOfDate","thumb-down"],["ثمة مشكلة في الترجمة.","translationIssue","thumb-down"],["مشكلة في العيّنات / التعليمات البرمجية","samplesCodeIssue","thumb-down"],["غير ذلك","otherDown","thumb-down"]],["تاريخ التعديل الأخير: 2025-08-01 (حسب التوقيت العالمي المتفَّق عليه)"],[],[],null,["# Add-on security\n\nThis page details the security requirements third-party add-ons\nhave to fulfill.\n\nOrigin restrictions\n-------------------\n\nAn origin is a URL with a scheme (protocol), host (domain), and port. Two URLs\nhave the same origin when they share the same scheme, host, and port.\nSub-origins are permitted. For more information, see [RFC\n6454](https://www.ietf.org/rfc/rfc6454.txt).\n\nThese resources share the same origin as they have the same scheme, host, and\nport components:\n\n- `https://www.example.com`\n- `https://www.example.com:443`\n- `https://www.example.com/sidePanel.html`\n\nThe following constraints are enforced when working with origins:\n\n1. All [origins](/workspace/meet/add-ons/guides/overview#origin) used in the operation of\n your add-on must use `https` as the protocol.\n\n2. The `addOnOrigins` field in the [add-on\n manifest](/workspace/meet/add-ons/guides/deploy-add-on#create-deployment) must be\n populated with the origins that your add-on is\n using.\n\n The entries in the `addOnOrigins` field must be a list of [CSP host\n source](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/Sources#host-source)\n compatible values. For example `https://*.addon.example.com` or\n `https://main-stage-addon.example.com:443`. [Resource\n paths](https://developer.mozilla.org/en-US/docs/Learn/Common_questions/Web_mechanics/What_is_a_URL#path_to_resource)\n are not allowed.\n\n This list is used to:\n - Set the\n [`frame-src`](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-src)\n value of the iframes containing your application.\n\n - Validate the URLs that your add-on is using.\n The origin used in the following locales must be part of the origins\n listed in the `addOnOrigins` field in the manifest:\n\n - The `sidePanelUri` field in the add-on\n manifest. For more information, see\n [Deploy a Meet add-on](/workspace/meet/add-ons/guides/deploy-add-on#create-deployment).\n\n - The `sidePanelUrl` and `mainStageUrl` properties in the\n [`AddonScreenshareInfo`](/workspace/meet/add-ons/reference/websdk/screenshare_api.addonscreenshareinfo)\n object. For more information, see\n [Promote an add-on to users through screen\n sharing](/workspace/meet/add-ons/guides/promote#screen_sharing).\n\n - The `sidePanelUrl` and `mainStageUrl` properties in the\n [`ActivityStartingState`](/workspace/meet/add-ons/reference/websdk/addon_sdk.activitystartingstate).\n For more information on activity starting state, see [Collaborate using a Meet add-on](/workspace/meet/add-ons/guides/collaborate-in-the-add-on).\n\n - Validate the origin of the site that's calling the\n [`exposeToMeetWhenScreensharing()`](/workspace/meet/add-ons/reference/websdk/screenshare_api.meetaddonscreenshare.exposetomeetwhenscreensharing)\n method.\n\n3. If your application uses URL navigation inside the iframe, all origins that\n are being navigated to must be listed in the `addOnOrigins` field. Note that\n wildcard subdomains are permitted. For example,\n `https://*.example.com`. However, we strongly advise against using wildcard\n subdomains with a domain you don't own, such as `web.app` which is owned by\n Firebase."]]
