Experience Cloud Developer Guide (Experience Cloud 開発者ガイド)
jセキュアサイトの開発: Lightning Locker と CSP
エクスペリエンスビルダーサイトでは、コンテンツセキュリティポリシー (CSP) と Lightning Locker を使用して、悪意のある攻撃やカスタムコードの脆弱性からサイトを保護しています。独自のカスタムコンポーネントを開発したり、サードパーティコンポーネントを使用したり、カスタムコードを head マークアップに追加したりする場合、これらのセキュリティ機能の潜在的な影響を考慮します。
CSP
CSP は、ページに読み込むコンテンツのソースを制御するための W3C 標準です。CSP ルールはページレベルで機能し、すべてのサードパーティコンポーネントとカスタムコードに適用されます。デフォルトでは、フレームワークのヘッダーに読み込むことができるコンテンツは安全な (HTTPS) URL からのみで、JavaScript からの XHR 要求は禁止されています。
エクスペリエンスビルダーでは、さまざまなレベルの CSP スクリプトセキュリティを使用できます。CSP レベルはサイトごとに固有です。
Lightning Locker
Lightning Locker は、サードパーティコンポーネントやカスタムコードをブラウザの同じページで安全に実行できるようにする Salesforce セキュリティアーキテクチャです。セキュリティの機能強化:
- 独自の名前空間でコードを分離
- サポートされる API へのアクセスのみを許可
- 公開されていないフレームワーク内部へのアクセスを排除
Lightning Locker は、すべての新規エクスペリエンスビルダーサイトではデフォルトで有効化されています。Lightning Locker が原因でサードパーティコンポーネントやカスタムコードが期待どおりに動作しない場合は、「エクスペリエンスビルダーの Lightning Locker の競合の解決」を参照してください。