クロスオリジン iframe 通信の URL 許可リストを指定する

  • リリースバージョン: Australia
  • 更新日 2026年03月12日
  • 所要時間：2分

    • システムプロパティを使用して、クロスオリジン通信で信頼するドメインを指定します。

    glide.ui.concourse.onmessage_enforce_same_origin_whitelist プロパティを使用して、包含リストで指定した信頼できるドメインの iframe 間のクロスオリジン通信を有効にします。このプロパティは、UI でのメッセージ伝搬 (window.postMessage を介して送信) のための信頼できる送信元のリストを指定します。このプロパティがクロスドメインメッセージングの信頼できる/許可された送信元のリストに設定されていない場合、悪意のあるスクリプトを含むドメインからのクロスオリジンメッセージが許可される可能性があります。プロパティ値には、作成元のリストを含める必要があり、カンマで区切る必要があります。プロパティ値が空の場合、すべてのドメインがブロックされます。

    glide.ui.concourse.onmessage_enforce_same_origin_whitelist システムプロパティに、クロスオリジンメッセージングに使用する信頼できるドメインのリストのみが含まれていることを確認してください。リストが空の場合、ドメインは許可されません。

    詳細情報

    属性 説明
    構成名 glide.ui.concourse.onmessage_enforce_same_origin_whitelist
    構成タイプ システムプロパティ (/sys_properties_list.do)
    データタイプ 文字列
    推奨値 信頼できるドメインのカンマ区切りリストまたは空のリスト
    デフォルト値 空
    フォールバック値 空
    カテゴリ アクセス制御
    セキュリティリスク
    • 重大度スコア：4.2
    • CVSS スコア：中
    • セキュリティリスクの詳細:信頼できるオリジンが無効であると、信頼できないドメインが window.postMessage を介して悪意のあるペイロードを挿入し、データ流出、セッションハイジャック、UI 操作、DOM ベースの XSS などのクロスオリジン攻撃につながる可能性があります。Web ページに適切なオリジン検証を実行しないイベントハンドラーが含まれている場合、任意のオリジンからの Web ページまたはスクリプトは、その Web ページと通信できます。また、イベントハンドラーによって実行される機能を開始することもできます。他のドメインの iframe との通信はセキュリティ上のリスクです。
    機能への影響 意図したドメインを包含リストに追加しない場合、そのドメインからのクロスオリジンメッセージは許可されません。
    依存関係と前提条件 なし