CspTrustedSite | メタデータ API 開発者ガイド

CSP 信頼済みサイトを表します。Lightning コンポーネントフレームワークでは、W3C 標準のコンテンツセキュリティポリシー (CSP) を使用して、ページに読み込むことができるコンテンツのソースを制御します。外部 (Salesforce 以外の) サーバに対する要求を実行するサードパーティ API を使用するには、サーバを CSP 信頼済みサイトとして追加します。

宣言的なメタデータファイルのサフィックスおよびディレクトリの場所

CspTrustedSite コンポーネントは、対応するパッケージディレクトリの cspTrustedSites ディレクトリに保存されます。ファイル名は信頼済みサイトの一意の名前に一致し、拡張子は .cspTrustedSite です。

バージョン

CspTrustedSite コンポーネントは、API バージョン 39.0 以降で使用できます。

項目

項目	データ型	説明
description	string	この信頼済みサイトの使用目的を解説する説明。
endpointUrl	string	必須。信頼済みサイトの URL。
isActive	boolean	必須。信頼済みサイトが有効であるか (`true`)、否か (`false`) を示します。

宣言的なメタデータの定義のサンプル

信頼済みサイトの XML 定義のサンプルを以下に示します。

1<?xml version="1.0" encoding="UTF-8"?>
2<CspTrustedSite xmlns="http://soap.sforce.com/2006/04/metadata">
3    <description>Used for Lightning component callout to mapping web service</description>
4    <endpointUrl>https://www.maptestsite.net/</endpointUrl>
5    <isActive>true</isActive>
6</CspTrustedSite>

使用方法

CSP は、Web アプリケーションセキュリティに関する W3C ワーキンググループの勧告候補です。このフレームワークでは、W3C が推奨する Content-Security-Policy HTTP ヘッダーを使用しています。デフォルトでは、フレームワークのヘッダーに読み込むことができるコンテンツは安全な (HTTPS) URL からのみで、JavaScript からの XHR 要求は禁止されています。

CSP 信頼済みサイトを定義すると、そのサイトの URL が CSP ヘッダーの次に示すディレクティブの許可サイト一覧に追加されます。

connect-src
frame-src
img-src
style-src
font-src
media-src

この CSP ヘッダーディレクティブへの変更によって、Lightning コンポーネントがサイトから画像、スタイル、フォントなどのリソースを読み込むことができます。また、クライアント側のコードでサイトへの要求を行うこともできます。

サードパーティサイトからは、CSP 信頼済みサイトであっても JavaScript リソースを読み込むことはできません。サードパーティサイトの JavaScript ライブラリを使用するには、そのライブラリを静的リソースに追加し、静的リソースをコンポーネントに追加します。ライブラリが静的リソースから読み込まれたら、通常どおり使用できます。

重要