با مجموعه‌ها، منظم بمانید ذخیره و طبقه‌بندی محتوا براساس اولویت‌های شما.
این صفحه الزامات امنیتی را که افزونه های شخص ثالث باید انجام دهند، شرح می دهد.
محدودیت های مبدا
مبدا یک URL با طرح (پروتکل)، میزبان (دامنه) و پورت است. دو URL زمانی که طرح، میزبان و پورت یکسانی را به اشتراک می گذارند، منشأ یکسانی دارند. منابع فرعی مجاز هستند. برای اطلاعات بیشتر، RFC 6454 را ببینید.
این منابع منشا یکسانی دارند زیرا دارای اجزای طرح، میزبان و پورت یکسان هستند:
https://www.example.com
https://www.example.com:443
https://www.example.com/sidePanel.html
محدودیت های زیر هنگام کار با مبدا اعمال می شود:
تمام منابع مورد استفاده در عملکرد افزونه شما باید https به عنوان پروتکل استفاده کنند.
قسمت addOnOrigins در مانیفست الحاقی باید با مبداهایی که افزونه شما استفاده می‌کند پر شود.
ورودی‌های فیلد addOnOrigins باید فهرستی از مقادیر سازگار منبع میزبان CSP باشد. برای مثال https://*.addon.example.com یا https://main-stage-addon.example.com:443 . مسیرهای منبع مجاز نیستند.
این لیست برای موارد زیر استفاده می شود:
مقدار frame-src iframe های حاوی برنامه خود را تنظیم کنید.
URL هایی را که افزونه شما استفاده می کند اعتبار سنجی کنید. مبدا استفاده شده در زبان های زیر باید بخشی از مبداهای فهرست شده در فیلد addOnOrigins در مانیفست باشد:
فیلد sidePanelUri در مانیفست افزونه. برای اطلاعات بیشتر، به استقرار افزونه Meet مراجعه کنید.
اگر برنامه شما از پیمایش URL در داخل iframe استفاده می کند، همه مبداهایی که به آنها پیمایش می شوند باید در قسمت addOnOrigins فهرست شوند. توجه داشته باشید که زیر دامنه های wildcard مجاز هستند. به عنوان مثال، https://*.example.com . با این حال، اکیداً توصیه می‌کنیم از زیردامنه‌های wildcard با دامنه‌ای که شما مالک آن نیستید استفاده نکنید، مانند web.app که متعلق به Firebase است.
تاریخ آخرین بهروزرسانی 2025-07-30 بهوقت ساعت هماهنگ جهانی.
[[["درک آسان","easyToUnderstand","thumb-up"],["مشکلم را برطرف کرد","solvedMyProblem","thumb-up"],["غیره","otherUp","thumb-up"]],[["اطلاعاتی که نیاز دارم وجود ندارد","missingTheInformationINeed","thumb-down"],["بیشازحد پیچیده/ مراحل بسیار زیاد","tooComplicatedTooManySteps","thumb-down"],["قدیمی","outOfDate","thumb-down"],["مشکل ترجمه","translationIssue","thumb-down"],["مشکل کد / نمونهها","samplesCodeIssue","thumb-down"],["غیره","otherDown","thumb-down"]],["تاریخ آخرین بهروزرسانی 2025-07-30 بهوقت ساعت هماهنگ جهانی."],[],[],null,["# Add-on security\n\nThis page details the security requirements third-party add-ons\nhave to fulfill.\n\nOrigin restrictions\n-------------------\n\nAn origin is a URL with a scheme (protocol), host (domain), and port. Two URLs\nhave the same origin when they share the same scheme, host, and port.\nSub-origins are permitted. For more information, see [RFC\n6454](https://www.ietf.org/rfc/rfc6454.txt).\n\nThese resources share the same origin as they have the same scheme, host, and\nport components:\n\n- `https://www.example.com`\n- `https://www.example.com:443`\n- `https://www.example.com/sidePanel.html`\n\nThe following constraints are enforced when working with origins:\n\n1. All [origins](/workspace/meet/add-ons/guides/overview#origin) used in the operation of\n your add-on must use `https` as the protocol.\n\n2. The `addOnOrigins` field in the [add-on\n manifest](/workspace/meet/add-ons/guides/deploy-add-on#create-deployment) must be\n populated with the origins that your add-on is\n using.\n\n The entries in the `addOnOrigins` field must be a list of [CSP host\n source](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/Sources#host-source)\n compatible values. For example `https://*.addon.example.com` or\n `https://main-stage-addon.example.com:443`. [Resource\n paths](https://developer.mozilla.org/en-US/docs/Learn/Common_questions/Web_mechanics/What_is_a_URL#path_to_resource)\n are not allowed.\n\n This list is used to:\n - Set the\n [`frame-src`](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Content-Security-Policy/frame-src)\n value of the iframes containing your application.\n\n - Validate the URLs that your add-on is using.\n The origin used in the following locales must be part of the origins\n listed in the `addOnOrigins` field in the manifest:\n\n - The `sidePanelUri` field in the add-on\n manifest. For more information, see\n [Deploy a Meet add-on](/workspace/meet/add-ons/guides/deploy-add-on#create-deployment).\n\n - The `sidePanelUrl` and `mainStageUrl` properties in the\n [`AddonScreenshareInfo`](/workspace/meet/add-ons/reference/websdk/screenshare_api.addonscreenshareinfo)\n object. For more information, see\n [Promote an add-on to users through screen\n sharing](/workspace/meet/add-ons/guides/promote#screen_sharing).\n\n - The `sidePanelUrl` and `mainStageUrl` properties in the\n [`ActivityStartingState`](/workspace/meet/add-ons/reference/websdk/addon_sdk.activitystartingstate).\n For more information on activity starting state, see [Collaborate using a Meet add-on](/workspace/meet/add-ons/guides/collaborate-in-the-add-on).\n\n - Validate the origin of the site that's calling the\n [`exposeToMeetWhenScreensharing()`](/workspace/meet/add-ons/reference/websdk/screenshare_api.meetaddonscreenshare.exposetomeetwhenscreensharing)\n method.\n\n3. If your application uses URL navigation inside the iframe, all origins that\n are being navigated to must be listed in the `addOnOrigins` field. Note that\n wildcard subdomains are permitted. For example,\n `https://*.example.com`. However, we strongly advise against using wildcard\n subdomains with a domain you don't own, such as `web.app` which is owned by\n Firebase."]]
