Lightning コミュニティ開発者ガイド
jLightning コミュニティのコンテンツセキュリティポリシー
Lightning コミュニティでは、コンテンツセキュリティポリシー (CSP) を適用します。CSP は、ページに読み込むコンテンツのソースを制御するための W3C 標準です。
エクスペリエンスビルダーは、Lightning コミュニティで異なるレベルのスクリプトセキュリティを提供します。CSP レベルはコミュニティに固有です。Salesforce ヘルプの「Select a Security Level in Lightning Communities (Lightning コミュニティでのセキュリティレベルの選択)」を参照してください。
| セキュリティレベル | 説明 |
|---|---|
| 厳格な CSP: インラインスクリプトと、すべてのサードパーティホストへのスクリプトアクセスをブロック | Spring '19 (2019 年 2 月) 以降に作成されたコミュニティのデフォルト設定。 最大のセキュリティが提供されます。
|
| インラインスクリプトと、ホワイトリストに登録されたサードパーティホストへのスクリプトアクセスを許可 | 中程度のセキュリティが提供されます。
|
| インラインスクリプトと、任意のサードパーティホストへのスクリプトアクセスを許可 | 追加のセキュリティは提供されませんが、現在の設計どおりにコミュニティを機能させることができます。
|
厳格な CSP は、インラインスクリプトの unsafe-inline キーワードを禁止することで、クロスサイトスクリプティング (XSS) 攻撃や、他のコンテンツ挿入攻撃のリスクを緩和します。サードパーティライブラ���を unsafe-inline に依存しない新しいバージョンに更新することを検討してください。詳細は、『Lightning Aura コンポーネント開発者ガイド』の「Lightning Locker による eval() 関数の制限」を参照してください。
厳格な CSP を有効にすると、カスタム Lightning コンポーネントだけでなく、コミュニティのページの <head> で使用されるマークアップにも影響します。インラインスクリプトは許可されず、エクスペリエンスビルダーの でサポートされていないマークアップを入力すると警告が表示されます。